HMAC生成器

HMAC（基于哈希的消息认证码）是一种使用加密哈希函数进行消息认证的机制。它验证消息的数据完整性和真实性，确保消息未被篡改且来自合法发送者。

HMAC使用加密哈希函数（如SHA-256）将密钥与消息数据结合。该过程以特定方式使用密钥对消息进行哈希处理，生成固定大小的输出，作为消息的指纹和认证标签。

此工具支持使用SHA-1、SHA-256、SHA-384和SHA-512算法生成HMAC。SHA-256在大多数用例中被推荐，因为它提供了出色的安全性和性能平衡。SHA-1在安全关键应用中已被弃用。

普通哈希（如SHA-256）仅验证数据完整性——任何人都可以计算它。HMAC在过程中添加了密钥，同时提供完整性和认证。只有拥有正确密钥的方才能生成或验证HMAC，使其对认证目的安全。

当使用强哈希函数（SHA-256或更高）和足够长的密钥时，HMAC被认为是安全的。安全性取决于底层哈希函数对碰撞和原像攻击的抵抗能力，以及密钥的保密性和长度。

HMAC广泛用于API认证（如REST API）、JWT令牌生成、消息完整性验证、安全通信协议（TLS、SSH）、密码存储和数据验证。它对于确保数据在传输过程中未被修改至关重要。

对于SHA-256，至少使用256位（32字节）密钥。对于SHA-512，至少使用512位（64字节）密钥。更长的密钥提供更好的安全性。密钥应随机生成并保密。切勿使用弱或可预测的密钥。

HMAC提供消息认证和完整性但不加密数据——消息仍然可读。加密使数据对未授权方不可读。它们服务于不同目的：HMAC验证真实性，加密提供机密性。

不一样。HMAC使用对称密码学，双方共享相同的密钥。数字签名使用非对称密码学的公钥/私钥对。HMAC更快更简单，但需要安全的密钥分发，而数字签名提供不可否认性。

要验证HMAC，接收方使用相同的算法、消息和密钥计算HMAC，然后与接收到的HMAC进行比较。如果完全匹配，则消息是真实且未被修改的。始终使用恒定时间比较以防止计时攻击。

HMAC-SHA256是使用SHA-256哈希函数的HMAC。它产生256位（32字节）的哈希值，广泛用于Web API、JWT令牌和安全通信。它是目前通用认证中最常用的HMAC变体。

虽然HMAC可以用于密码存储系统，但不建议单独使用。现代密码存储应使用专门的算法如bcrypt、scrypt或Argon2，这些算法设计为慢速且抗暴力攻击。