php hmac是干嘛的？一文读懂它的原理和应用场景！

发布日期： 2025-10-21 阅读量： 作者： admin

为啥要折腾HMAC这玩意儿？

得，今天说说我捣鼓PHP里那个HMAC的事儿。起因挺简单的，就是我写了个小脚本，需要接收外面传进来的一些数据。但我总担心这数据不安全，万一路上被人改了，或者干脆是别人伪造了发过来的，那我这脚本不就处理错了吗？一开始想着用个固定的密码字符串比对一下，但感觉还是不太靠谱。

后来听人说了HMAC这东西，全称好像是啥基于哈希的消息认证码。说白了，它就是给你的数据加个“签名”，但这签名不是随便加的，得用一个只有你和发送方知道的“密钥”来生成。这样一来，别人不知道密钥，就很难伪造这个签名了。而且如果数据在中途被改了一点点，生成的签名也会完全不一样。正好能解决我的问题：验证来源和保证数据没被篡改。

上手实践PHP里的HMAC

那具体在PHP里怎么弄？我查了下，PHP自带了一个函数叫hash_hmac，这就方便多了，不用自己去实现复杂的算法。

我当时是这么一步步试的：

准备数据： 就是你要保护的那段信息。比如，我要传一个简单的指令，像 "user_id=123&action=update"。这就是我的原始数据。
定个密钥： 这个是关键，得是个保密的字符串，不能让外人知道。比如我当时随便设置了个，像是 "jds@D9#kL!pQr$T"。这个密钥，发送方和接收方都得用同一个。
选个算法： hash_hmac支持好几种哈希算法，比如'md5'、'sha1'、'sha256'等等。我看现在大家都推荐用'sha256'，据说更安全，那我就选它了。
调用函数生成签名： 万事俱备，直接调用函数。代码大概是这样：$signature = hash_hmac('sha256', $data_to_protect, $my_secret_key); 这样，变量$signature里就存着一长串由字母和数字组成的字符串，这就是算出来的HMAC值，也就是那个“签名”。

收到数据后怎么校验？

光生成签名还不行，接收方得能验证才算数。

当我的脚本收到数据（比如那个"user_id=123&action=update"）和附带的签名（比如发送方算出来的那个$signature值）后，我就得在我的脚本里重新算一遍。

过程跟生成时差不多：

拿到接收到的原始数据。用我这边存着的、和发送方完全一样的那个密钥 ("jds@D9#kL!pQr$T")。也用完全一样的算法 ('sha256')。再调用一次hash_hmac函数：$calculated_signature_on_my_side = hash_hmac('sha256', $received_data, $my_secret_key);

最关键的一步来了：比较我刚算出来的签名$calculated_signature_on_my_side，和跟着数据一起发过来的那个签名$received_signature是不是完全一样。

这里有个小技巧，不能直接用来比较字符串，据说那样不太安全，容易被攻击。得用PHP提供的hash_equals函数来比较，它能防止所谓的“时序攻击”。用法很简单：if (hash_equals($calculated_signature_on_my_side, $received_signature)) { // 签名对上了，数据可信，处理它！ } else { // 签名不对！数据可能被篡改了，或者来源不对，直接拒绝！ }

这回实践解决了啥问题？

对我来说，这回折腾HMAC主要是用在了一个接收第三方服务通知的地方（就是所谓的Webhook）。那个服务会时不时地发些更新信息给我的脚本。我总不能凭空相信过来的请求就是它发的？万一是别人冒充的？或者信息在网络上传输时出错了、被改了？

用了HMAC之后，我心里就有底了。只要签名能对上，我就基本能确定两件事：第一，这消息确实是那个知道密钥的、合法的服务发来的；第二，消息内容从发送出来到我收到，中间没被人动过手脚。这比简单地检查IP地址或者用个明文token啥的，感觉靠谱多了。

PHP这个hash_hmac函数用起来挺方便的，理解了数据、密钥、算法这三个要素，就能很快上手。对于需要验证数据来源和完整性的场景，确实是个不错的选择。这回实践记录就到这，希望能给同样有需要的朋友一点参考。

上一篇: 香港服务器租赁价格大概多少？小白看这篇快速了解行情！

下一篇: 网站用香港服务器可靠吗？看完这篇分析再做决定！

php hmac是干嘛的？一文读懂它的原理和应用场景！

随便看看