HMAC（Hash-based Message Authentication Code）是一种带密钥的消息认证码，定义在 RFC 2104。下面重点说明安全定位。
HMAC是不是加密
HMAC 不可逆，也不能从认证码恢复消息或密钥；只能重新计算并比较。
- 密钥一旦写进前端页面就等于公开
- 只验证签名而不验证时间戳/随机数，可能遭受重放
示例
输入：密钥 "key"，消息 中文
计算结果：cca018d4410ee005a70b767ef3660164fa5815b4cc8da1a391af17e338ee1cfe
说明：HMAC-SHA256，密钥与消息均按 UTF-8 字节计算。
规则说明
- 密钥要足够长、随机，并保密，不能写进前端公开代码
- 比较 HMAC 必须用常量时间比较，防止时序攻击
- 约定字符集（建议 UTF-8）和输出格式（十六进制或 Base64）
- 不要把密钥和消息拼在一起直接哈希来“代替”HMAC，那不是 HMAC
命令行示例
# OpenSSL
echo -n "abc" | openssl dgst -sha256 -hmac "key"
# Python 见下文本站的HMAC计算工具可以直接处理，计算在浏览器本地完成，适合快速核对结果。
常见问题
【“key”+“abc”的 HMAC-SHA256 是多少？】9c196e32dc0175f86f4b1cb89289d6619de6bee699e4c378e68309ed97a1a6ab。
【JWT 的 HS256 是 HMAC 吗？】是，即 HMAC-SHA256 作用于 header.payload。
【HMAC 能当加密用吗？】不能。它只生成认证码，不隐藏原文。
文中示例可以在本站对应工具中验证；处理密钥、证书等敏感数据时，请注意保护隐私。
版权声明：除非特别标注，否则均为本站原创文章，转载时请以链接形式注明文章出处。
