HMAC 生成器
从文本输入和密钥即时生成 HMAC（基于哈希的消息认证码）值。HMAC 提供数据完整性和真实性验证，使其成为 API 认证、消息签名和安全通信协议必不可少的工具。我们的免费浏览器工具支持使用 MD5、SHA-1、SHA-256 和 SHA-512 哈希函数的 HMAC，所有计算都在本地进行，确保完全隐私。
功能介绍
HMAC（基于哈希的消息认证码）是一种密码学机制，将密钥与哈希函数结合生成消息认证码，提供完整性和真实性验证。与简单哈希不同，HMAC 要求验证者拥有相同的密钥来验证消息，防止没有密钥的各方进行篡改。在 RFC 2104 中定义，HMAC 通过哈希密钥（填充到块大小）与内部和外部填充常量进行异或运算，然后与消息连接来构建。这种构造确保即使底层哈希函数有弱点（如 MD5 或 SHA-1），HMAC 仍然保持安全。HMAC-SHA256 广泛用于 API 认证（AWS 签名、JWT）、消息签名、CSRF 令牌生成和安全 Cookie 验证。我们的工具支持所有主要哈希算法的 HMAC，允许您为用例选择适当的安全级别。
使用方法
- 在浏览器中打开 HMAC 生成器——无需安装或注册。
- 从下拉菜单中选择您首选的哈希算法（大多数应用推荐 HMAC-SHA256）。
- 在密钥字段中输入您的密钥——此密钥用于生成和验证。
- 在输入区域输入或粘贴您要认证的消息。
- HMAC 即时计算，以十六进制字符串显示在输出区域。
- 复制 HMAC 值以用于 API 请求、消息头或验证过程。
相关搜索
相关搜索：HMAC, HMAC-SHA256, 消息认证, MAC码, 密钥哈希, API认证。
HMACHMAC-SHA256消息认证MAC码密钥哈希API认证
常见问题
HMAC 和常规哈希有什么区别？
常规哈希（如 SHA-256）只提供数据完整性——任何人都可以计算消息的哈希。HMAC 在哈希过程中添加了密钥，提供完整性和真实性。使用 HMAC，只有拥有密钥的各方才能生成或验证认证码。这意味着攻击者无法修改消息并生成有效的 HMAC，即使他们知道正在使用的哈希算法。这使得 HMAC 适用于 API 认证、消息签名以及任何需要验证消息来自可信来源且未被篡改的场景。
HMAC 应该使用哪种哈希算法？
HMAC-SHA256 是大多数应用的推荐选择，提供 256 位安全性和广泛的兼容性。它被 AWS 签名版本 4、JSON Web Tokens (JWT) 和现代 API 认证系统使用。HMAC-SHA512 为长期保护或机密数据提供更高的安全裕度。HMAC-SHA1 对于 HMAC 目的仍然被认为是安全的（HMAC 的安全性不依赖于哈希的抗碰撞性），但正在被 SHA-256 取代。新应用应避免使用 HMAC-MD5，因为尽管理论上 HMAC-MD5 是安全的，但使用已弃用的哈希函数会降低信任并可能无法满足合规要求。
应该如何管理 HMAC 密钥？
HMAC 密钥应使用具有至少 256 位熵（32 字节）的密码学安全随机数生成器生成。使用环境变量、硬件安全模块 (HSM) 或专用密钥管理服务（如 AWS Secrets Manager、HashiCorp Vault 或 Azure Key Vault）安全地存储密钥。永远不要将密钥硬编码在源代码中或提交到版本控制。定期轮换密钥并制定允许优雅过渡的密钥轮换策略。密钥应使用加密通道在各方之间安全共享，并且对密钥的访问应被记录和审计。
HMAC 是加密的吗？可以逆向吗？
HMAC 不是加密——它是消息认证码。它无法从 HMAC 输出恢复原始消息或密钥。HMAC 的目的是验证消息未被篡改并且来自拥有密钥的各方。要验证 HMAC，您使用接收到的消息和您的密钥副本重新计算它，然后将结果与接收到的 HMAC 进行比较。如果它们匹配，则消息是真实的。这与加密根本不同，加密被设计为可逆的（使用密钥）以恢复原始数据。