.NET Core 使用HMAC算法

一. HMAC 简介

通过哈希算法，我们可以验证一段数据是否有效，方法就是对比该数据的哈希值，例如，判断用户口令是否正确，我们用保存在数据库中的password_md5对比计算md5(password)的结果，如果一致，用户输入的口令就是正确的。

为了防止黑客通过彩虹表根据哈希值反推原始口令，在计算哈希的时候，不能仅针对原始输入计算，需要增加一个salt来使得相同的输入也能得到不同的哈希，这样，大大增加了黑客破解的难度。

如果salt是我们自己随机生成的，通常我们计算MD5时采用md5(message + salt)。但实际上，把salt看做一个“口令”，加salt的哈希就是：计算一段message的哈希时，根据不通口令计算出不同的哈希。要验证哈希值，必须同时提供正确的口令。

这实际上就是Hmac算法：Keyed-Hashing for Message Authentication。它通过一个标准算法，在计算哈希的过程中，把key混入计算过程中。

和我们自定义的加salt算法不同，Hmac算法针对所有哈希算法都通用，无论是MD5还是SHA-1。采用Hmac替代我们自己的salt算法，可以使程序算法更标准化，也更安全。

使用hmac和普通hash算法非常类似。hmac输出的长度和原始哈希算法的长度一致。

HMAC算法简介摘自廖雪峰py教程 原文

二. .NET Core 中的使用

.NET Core 中已经由现成的类，可以直接使用，非常方便。主要有五种类型：HMACMD5、HMACSHA1、HMACSHA256、HMACSHA384、HMACSHA512。其使用方法均为一样，输出内容主要有两种，一种是原始字符串，一种是Base64字符串。

以HMACSHA256为例：

Base64

/// <summary>
/// Base64 SHA256
/// </summary>
/// <param name="data">待加密数据</param>
/// <param name="secret">密钥</param>
/// <returns></returns>
public static string EncryptWithSHA256(string data, string secret)
{
    secret = secret ?? "";
    var encoding = Encoding.UTF8;
    byte[] keyByte = encoding.GetBytes(secret);
    byte[] dataBytes = encoding.GetBytes(data);
    using (var hmac256 = new HMACSHA256(keyByte))
    {
        byte[] hashData = hmac256.ComputeHash(dataBytes);
        return Convert.ToBase64String(hashData);
    }
}

原始字符串：

/// <summary>
/// 原始64位 SHA256
/// </summary>
/// <param name="data">待加密数据</param>
/// <param name="secret">密钥</param>
/// <returns></returns>
public static string EncryptWithSHA256Original(string data, string secret)
{
    secret = secret ?? "";
    var encoding = Encoding.UTF8;
    byte[] keyByte = encoding.GetBytes(secret);
    byte[] dataBytes = encoding.GetBytes(data);
    using (var hmac256 = new HMACSHA256(keyByte))
    {
        byte[] hashData = hmac256.ComputeHash(dataBytes);
        return BitConverter.ToString(hashData).Replace("-", "").ToLower();
    }
}