消息认证码生成器

使用方法

1. 在 “消息” 中输入数据。若是二进制数据，请在 “消息编码” 下选择 “十六进制” 或 “Base64”。
2. 在 “密钥” 中输入秘密，并在 “密钥编码” 下选择它的书写方式。
3. 阅读 “HMAC 值” 中的四行结果。复制需要的值，或将它与您的系统给出的值比较。
4. 如果数值与另一个系统不同，请先检查字节：换行符或编码不同，HMAC 就会不同。

什么是 HMAC

HMAC（RFC 2104）是一种消息认证码，即只有知道秘密密钥的人才能生成的一段短数值。它由普通的哈希函数 H 构建，对消息和密钥各应用两次，因此同一个哈希函数可用于表格中的四行。由于需要密钥，HMAC 相符就说明消息没有被改动，并且来自持有密钥的人。

HMAC 并不隐藏消息。任何拿到消息的人都可以读取它，HMAC 只让他们能够核对消息是否完整。

HMAC(K, m) = H((K XOR opad) || H((K XOR ipad) || m))

ipad = 重复 B 次的字节 0x36
opad = 重复 B 次的字节 0x5C
B    = H 的分组长度：SHA-1 和 SHA-256 为 64 字节，SHA-384 和 SHA-512 为 128 字节

选择哪种哈希与密钥

HMAC-SHA-256 是常用的选择，许多 Webhook 和 API 都使用它。HMAC-SHA-512 的结构相同，但输出更长。HMAC-SHA-1 仍出现在旧系统中，不适合用于新的设计。

密钥应当是随机的，并且至少与哈希输出一样长。以单词或短语形式输入的密钥很容易被猜到，一旦被猜到，HMAC 就毫无作用。

十六进制与 Base64

两种形式显示的是相同的字节。十六进制把每个字节写成两位数字，因此 SHA-256 有64位。Base64 把三个字节写成四个字符，因此 SHA-256 有44个字符，其中最后一个是用于填充的 =（RFC 4648）。

• HMAC-SHA-1：40位十六进制数字，28个 Base64 字符
• HMAC-SHA-256：64位十六进制数字，44个 Base64 字符
• HMAC-SHA-384：96位十六进制数字，64个 Base64 字符
• HMAC-SHA-512：128位十六进制数字，88个 Base64 字符

常见问题