HMAC 到底是用来加密的还是用来验真的？

HMAC 是基于哈希的消息认证码，核心用途是认证与完整性校验，而不是保密。它用密钥和 SHA 家族哈希生成一段摘要，双方可据此确认消息来自持有密钥的一方且未被篡改。

我想验证接口回调是不是官方发的，该怎么用？

把接收到的原始报文用约定的密钥通过本工具算出 HMAC，再与请求头里带来的签名比对，一致即可认定来源可信且内容完整。

工具基于 SHA 家族实现，常见如 SHA1/SHA256/SHA512 均可用，生产环境推荐 SHA256 及以上以保证安全性。

建议使用足够随机且长度足够的密钥，过短或弱口令会被暴力枚举。密钥本质是共享秘密，需通过安全信道分发。

不能。HMAC 依赖哈希的单向性，无法从签名反推消息原文或密钥，它只用于验证而非解密。

裸哈希不含密钥，任何人都能重算；HMAC 引入密钥，只有持有密钥的人才能生成正确签名，因此具备来源认证能力。

加密散列

基于 SHA 家族的 HMAC 消息认证码计算

「HMAC 计算」是注重隐私的哈希与加密工具。基于 SHA 家族的 HMAC 消息认证码计算，所有摘要与加密运算均在你的浏览器本地完成。

💡 哈希与加密请始终在本地进行，切勿把密钥或明文交给第三方网站。

HMAC 计算是一款完全在浏览器本地运行的在线工具，无需安装、无需注册。基于 SHA 家族的 HMAC 消息认证码计算。与依赖云端算力的在线 SaaS 不同，HMAC 计算的全部运算都在你的设备本地完成：你的内容不会被上传、不会被留存，更不会被用于模型训练，隐私安全从头到尾由你掌握。

相关搜索：HMAC 计算, hmac 签名认证

HMAC 到底是用来加密的还是用来验真的？: HMAC 是基于哈希的消息认证码，核心用途是认证与完整性校验，而不是保密。它用密钥和 SHA 家族哈希生成一段摘要，双方可据此确认消息来自持有密钥的一方且未被篡改。
我想验证接口回调是不是官方发的，该怎么用？: 把接收到的原始报文用约定的密钥通过本工具算出 HMAC，再与请求头里带来的签名比对，一致即可认定来源可信且内容完整。
它支持 SHA256 吗，还是只能用老算法？: 工具基于 SHA 家族实现，常见如 SHA1/SHA256/SHA512 均可用，生产环境推荐 SHA256 及以上以保证安全性。
密钥长度有要求吗，随便写个短密码行不行？: 建议使用足够随机且长度足够的密钥，过短或弱口令会被暴力枚举。密钥本质是共享秘密，需通过安全信道分发。
HMAC 的结果能反推原文或者密钥吗？: 不能。HMAC 依赖哈希的单向性，无法从签名反推消息原文或密钥，它只用于验证而非解密。
这和单纯对内容做 SHA256 有什么不一样？: 裸哈希不含密钥，任何人都能重算；HMAC 引入密钥，只有持有密钥的人才能生成正确签名，因此具备来源认证能力。

HMAC 计算的交互功能需要浏览器启用 JavaScript 才能使用。启用后即可在上方直接操作；你也可以先查看下方的功能说明、常见问题与相关工具，或前往加密与安全分类浏览同类工具。