关于Hmac SHA256在不同编程语言中的问题

Question

在尝试将HMACSHA256（哈希）集成到不同的程序语言时，我遇到了一个问题。我试图用Java和C＃中的标准预定义方法实现标准算法，并且我在不同语言中得到不同的结果。请参阅下面我在Java和C＃中的实现：

Java的：

    public static String convertSHAWithSalt(String value, String salt)
                throws NoSuchAlgorithmException, InvalidKeyException {
            String data = "";
            try {
                MessageDigest md = MessageDigest.getInstance("SHA-256");
                md.update(salt.getBytes(StandardCharsets.UTF_8));
                byte[] bytes = md.digest(value.getBytes(StandardCharsets.UTF_8));
                StringBuilder sb = new StringBuilder();
                for (byte b : bytes) {
                    sb.append(Integer.toString((b & 0xff) + 0x100, 16).substring(1));
                }
                data = sb.toString();
                System.out.println(data);
                } catch (NoSuchAlgorithmException e) {
                  e.printStackTrace();
               }
            }

字符串值'abcd'和空盐值的结果：88d4266fd4e6338d13b845fcf289579d209c897823b9217da3e161936f031589

C＃：

       public static string createHash(string message, string secret)
        {

            byte[] keyByte = System.Text.Encoding.UTF8.GetBytes(secret);

            byte[] messageBytes = System.Text.Encoding.UTF8.GetBytes(message);

            HMACSHA256  hmacsha256 = new HMACSHA256(keyByte);
            byte[] hashmessage = hmacsha256.ComputeHash(messageBytes);
            return BitConverter.ToString(hashmessage).Replace("-", "").ToLower();
        }

字符串值'abcd'和空盐值的结果：527ff4c28c22a090fe39908139363e81b8fb10d0695a135518006abfa21cf5a2

请说明为什么两个结果都有差异。我也在java中尝试了下面的实现，但它不适用于空的salt值：

public static String convertSHAWithSalt(String value, String salt)
            throws NoSuchAlgorithmException, InvalidKeyException {
        String data = "";
        Mac sha256Hmac = Mac.getInstance("HmacSHA256");
            SecretKeySpec secretkey = new SecretKeySpec(salt.getBytes(StandardCharsets.UTF_8), "HmacSHA256");
            sha256Hmac.init(secretkey);
            data = bytesToHex(sha256Hmac.doFinal(data.getBytes(StandardCharsets.UTF_8)));
            System.out.println(data);
    }

Answer 1

在difference和SHA-256之间有一个HMAC-SHA-256。 HMAC-SHA-256（另见HMAC）是一种使用MAC-hash算法生成SHA-256的算法。

第一个Java代码和C＃代码的结果是不同的，因为Java代码使用SHA-256和C＃代码HMAC-SHA-256。

既然你想使用HMAC-SHA-256我专注于它，我忽略了第一个Java代码。

文本的C＃代码的结果

This is an arbitrary text!

用钥匙

1234567890

是

25583e6e0b6c2c3a5c50ebd9ea48138a960a7ca2a215fae2b4b82ee99734deb4

第二个Java代码也使用HMAC-SHA-256。如果你更换线

data = bytesToHex(sha256Hmac.doFinal(data.getBytes(StandardCharsets.UTF_8)));
System.out.println(data);

同

data = bytesToHex(sha256Hmac.doFinal(value.getBytes(StandardCharsets.UTF_8)));
return data;

然后，输出是相同的（假设你的（未发布的）bytesToHex方法以适当的方式工作，参见例如How to convert a byte array to a hex string in Java?）。

顺便说一句，在第二个Java代码中你应该将标签salt更改为像key这样的东西，因为这是MAC背景下的常用措辞。 salt通常与您的第一个Java代码中的密码散列结合使用。

注意：在Java代码中，不允许使用空字节数组作为SecretKeySpec-input。这引发了一个IllegalArgumentException (Empty key)。但是，C＃代码中的HMACSHA256-ctor接受一个空的字节数组，并在内部用0值填充它。因此，对于您的测试用例（文本：abcd，空键），您可以在Java代码中通过包含单个0值的字节数组来模拟空字节数组。然后，Java代码的输出等于C＃代码的输出。当然，空键只应用于此测试用例。