HMAC 和普通哈希有什么区别？

普通哈希（如 SHA-256）只对数据进行单向摘要，任何人都可以计算。HMAC 则引入了密钥，只有持有正确密钥的人才能生成或验证签名。这使得 HMAC 同时具备完整性校验和身份认证的功能，适合 API 签名、Webhook 验证等需要确认发送者身份的场景。

HMAC-SHA256 和 HMAC-SHA1 哪个更安全？

HMAC-SHA256 更安全。SHA-1 已被证明存在碰撞漏洞，虽然 HMAC 模式下碰撞攻击的影响较小，但 NIST 等标准组织仍推荐使用 SHA-256 或更高强度的哈希函数。对于新项目，建议优先使用 HMAC-SHA256。

密钥应该多长？

HMAC 的密钥长度没有严格限制，但建议至少与哈希函数的输出长度相同（如 SHA-256 用 32 字节密钥）。过短的密钥会降低安全性，过长的密钥会被哈希处理后使用，不会带来额外的安全增益。实际使用中，通常用 32-64 字节的随机字符串作为密钥。

这个工具的数据安全吗？

完全安全。所有 HMAC 计算都在您的浏览器本地完成，使用 Web Crypto API 和 crypto-js 库，数据不会上传到服务器。您的消息和密钥始终留在本地，可以放心处理敏感数据。

HMAC 生成器

在线生成 HMAC-SHA256、HMAC-SHA1、HMAC-SHA512、HMAC-MD5 签名，支持多种输入编码和批量模式

算法：输入编码：输出编码：

单条模式批量模式大写输出

密钥 (Secret Key)

消息内容

HMAC 生成器使用说明

主要功能

多算法支持 - HMAC-SHA256、HMAC-SHA1、HMAC-SHA512、HMAC-MD5
多种输入编码 - 支持 UTF-8、Base64、Hex 格式的消息输入
灵活输出 - 支持 Hex 和 Base64 两种输出格式
批量模式 - 同时计算多条消息的 HMAC 签名

使用场景

API 接口签名验证
Webhook 消息完整性校验
JWT 签名计算
数据防篡改校验

操作技巧

所有计算在浏览器本地完成，数据不会上传
使用大写输出选项可获得大写十六进制结果
批量模式下每行输入一条消息
点击复制按钮快速复制结果到剪贴板

什么是 HMAC？

HMAC（Hash-based Message Authentication Code）是一种基于哈希函数的消息认证码。它结合了加密哈希函数（如 SHA-256）和一个密钥，用于验证消息的完整性和真实性。HMAC 广泛用于 API 签名、Webhook 验证、JWT 等场景，是现代 Web 开发中不可或缺的安全工具。