HMAC-SHA256哈希计算

一、基础核心定义

它是HMAC标准结合SHA-256构造的安全算法，定义于RFC 2104标准，输出固定256位（32字节）的认证码，只有持有共享密钥的双方才能生成和验证合法签名，相比普通SHA-256额外增加了身份校验能力，避免任意第三方伪造数据摘要。

二、核心运算流程

1. 密钥预处理：密钥长度超过64字节时先做SHA-256哈希缩短，不足64字节则补零填充。
2. 两次哈希运算：先将密钥与内部常量异或后拼接消息做第一次SHA-256哈希，再将密钥与外部常量异或后拼接上一步结果做第二次SHA-256哈希，最终得到认证码。

三、常见应用场景

广泛用于API接口签名、JWT令牌（HS256）验证、支付回调校验、敏感数据防篡改等场景，是目前Web开发中主流的安全校验方案。

四、安全特性优势

它天然抵御长度扩展攻击，SHA-256的强抗碰撞性保障了极低的伪造概率，算法标准化程度高、跨平台兼容性好，运算性能高效，是替代HMAC-MD5、HMAC-SHA1的高安全标准选择。