hash_hmac php 加密数据很简单，几个步骤轻松搞定！

发布日期： 2025-09-28 阅读量： 作者： admin

最近在搞一个项目，需要确保传过来的数据没被人动过手脚，还得确认是「自己人」发的，不是外面乱七八糟的请求。以前也听说过签名验证啥的，这回就想着实践一把，看看PHP里头怎么弄。

找了一圈，发现PHP自带了一个叫 hash_hmac 的函数，看名字就跟哈希（Hash）和消息认证码（HMAC）有关系，感觉就是它了。

动手试试

看文档，这函数用起来好像不难。基本就是告诉它用哪种哈希算法（比如'sha256'，感觉这个现在用得多，比较安全），然后给它要加密的数据，再给个「密钥」，也就是一个只有你和对方知道的秘密字符串。

我先随便写了点测试代码：

$data = "这是我要发送的数据";
$key = "一个只有我知道的复杂密钥!@#$%^";
$signature = hash_hmac('sha256', $data, $key);

跑了一下，确实输出了一个看起来乱七八糟的字符串，这就是签名了。感觉挺顺利。

实际应用起来

光生成签名没用，得用起来。我的场景是这样的：一个服务要调用另一个服务的接口，带着一些参数。

发送方这边：
- 先把要发送的所有参数，比如一个数组 $params，整理成一个固定的字符串格式。我这里偷懒用了 http_build_query，因为它能保证参数排序，方便两边统一。$dataString = http_build_query($params);
- 然后，拿出约定好的那个密钥 $secretKey。这个密钥非常重要，得藏好了，不能直接写代码里。我是放在环境配置文件里，程序启动时读取。
- 用 hash_hmac 生成签名：$signature = hash_hmac('sha256', $dataString, $secretKey);
- 把原始的参数 $params 和这个生成的签名 $signature 一起发给接收方。我通常是把签名放在请求头（Header）里，比如叫 X-Signature。
接收方那边：
- 收到请求后，先把请求里的参数（就是那个 $params 对应的数据）拿出来。
- 用跟发送方完全一样的方法，把这些参数整理成字符串。就是说，也用 http_build_query 处理收到的参数，得到 $receivedDataString。
- 拿出同样的那个密钥 $secretKey （也是从安全的地方读取）。
- 用同样的方式计算签名：$calculatedSignature = hash_hmac('sha256', $receivedDataString, $secretKey);
- 从请求头里取出发送方传过来的签名 $receivedSignature。
- 最关键的一步：比较自己算出来的 $calculatedSignature 和收到的 $receivedSignature 是不是完全一样。if ($calculatedSignature === $receivedSignature) { // 验证通过 } else { // 验证失败 }
- 如果一样，那说明数据没被改过，而且确实是知道密钥的那一方发来的。就可以放心处理业务了。如果不一样，那这请求就有问题，直接拒绝掉。

踩了几个小坑

过程中也遇到点小麻烦：

数据格式统一是关键：一开始两边生成的签名老对不上，查了半天，发现是因为参数转成字符串时，格式不一致。比如，发送方用了 json_encode，接收方直接用了原始的POST数据字符串，那肯定不行。或者，参数的顺序不一样，生成的字符串也不同。约定好用什么方法、什么顺序把数据转换成字符串非常重要。
密钥安全：再说一遍，密钥（$secretKey）绝对不能泄漏，放代码里是大忌。得用安全的方式存储和读取。
跟其他语言或库对接：有次需要跟前端JS生成的签名做对比（他们用了个叫cryptoJS的库），发现他们那边默认会把HMAC算出来的二进制结果再进行Base64编码。而PHP的 hash_hmac 默认输出的是十六进制字符串。为了匹配，我得设置 hash_hmac 的第四个参数为 true，让它输出原始二进制数据，然后再用 base64_encode 转一下，这才对上。这种细节差异得注意。

PHP里用 hash_hmac 做接口签名验证这事儿，函数本身不复杂，逻辑理清楚了就挺好使。主要的工作量和需要注意的地方，反而在数据格式的统一处理和密钥的安全管理上。搞定之后，接口的安全性感觉确实提升了一个档次，心里踏实多了。

上一篇: PHP数据库搭建遇到问题？常见错误及解决方法分享

hash_hmac php 加密数据很简单，几个步骤轻松搞定！

随便看看