一、hash_hmac简介
在互联网应用程序的安全中，hash函数是非常安全和实用的，它不仅可以通过散列函数进行加密，还可以用于验证消息完整性。那么这里提到的 hash_hmac()函数呢？它是 PHP 开发语言中的一个散列函数，它可以使用 HMAC 方法为数据生成带密钥的哈希值。使用哈希函数生成密钥，可以保护服务器密码和用户数据，尤其是在登录或注册过程中。hash_hmac() 函数提供了一种基于密钥的哈希函数的方法，这意味着它可以根据多种散列算法（如 SHA256、SHA1、MD5 等）生成哈希值。
二、hash_hmac函数的语法格式
hash_hmac ( string $算法 , string $data , string $key , bool $raw_output = false ) : string
hash_hmac() 函数支持四个参数：
- 算法：选用的 hash 函数。注意：可以支持多种散列表,如： "md5", "sha256", "haval160,4"等等；
- 数据：要加密的数据；
- 密钥：加密密钥。注意：该参数必须包含在双引号("")里面，如$key="mykey"；
- raw_output：如果该参数设置为true，则输出原始数据，否则默认为false，表示输出16进制转化的数据。
三、hash_hmac函数示例
下面是一个使用 hash_hmac() 函数进行签名函数。
function generateSignature($secretKey, $url, $httpMethod, $nonce, &$postData='') {
$nonce = base64_encode($nonce);
$postDataNonce = base64_encode(hash('sha256', $postData, true));
$message = strtoupper($httpMethod)."&".$url."&nonce=".$nonce."&".$postDataNonce;
$hash = hash_hmac('sha512', $message, $secretKey, true);
return base64_encode($hash);
}
该签名方法是根据 URL、请求方法、随机数和 POST 数据共同生成一个唯一签名。它是一个基于以密钥作为加密算法的哈希函数，以便保护应用程序状态和数据。
四、hash_hmac如何校验
hash_hmac() 函数不仅可以生成哈希值，而且可以使用相同的密钥计算哈希值以进行校验。请查看下面的示例代码：
//生成哈希值
$hash = hash_hmac('sha256', 'Hello World', 'mykey');
echo $hash."\n";
//输出：a6b28af3a86f0c24e66e8d395d3d0bfaae4c29df6460f2bc38aaac97d7a8c1fb
//校验哈希值
echo hash_hmac('sha256', 'Hello World', 'mykey', true) === base64_decode('a6b28af3a86f0c24e66e8d395d3d0bfaae4c29df6460f2bc38aaac97d7a8c1fb');
//输出：true
上述代码生成了一个哈希值并将其存储在 $hash 变量中。然后使用相同的数据和密钥再次调用该函数，将 true 作为第四个参数传递以保留原始二进制输出。最后，使用相同的哈希值使用 base64_decode 函数进行比较。如果两个值相同，则证明数据没有丢失或篡改。
五、hash_hmac使用注意事项
使用 hash_hmac() 函数要注意以下事项：
- 强烈建议使用随机数生成密钥。
- 请勿将密钥与具有相似名称的其他变量混淆。
- 密钥和哈希值应该使用与应用程序其他部分不同的变量存储。
- 不要公开存储密钥。相反，使用临时计算的值。
- 保持服务端的密钥保密性以及更新周期性。
总之，使用 hash_hmac() 函数必须注意安全问题并遵循最佳实践，这样就可以使用它们来创建安全的应用程序、保护服务器密码和用户数据。
