HMAC（Hash-based Message Authentication Code，基于哈希的消息认证码）是一种通过结合密钥和哈希算法来验证消息完整性和真实性的技术。它确保消息在传输过程中未被篡改，并且确实来自持有密钥的发送方。HMAC广泛用于API签名、JWT令牌和webhook验证等场景。

HMAC支持哪些哈希算法？

本工具支持三种主流的HMAC算法：HMAC-SHA256（最常用，推荐用于大多数场景）、HMAC-SHA384（安全性更高，适合敏感数据）、HMAC-SHA512（最高安全性，适合金融支付等场景）。算法越强，生成的HMAC值越长，计算速度也稍慢。

HMAC和普通哈希（如MD5、SHA256）有什么区别？

普通哈希（如SHA256）只保证数据完整性，任何人都可以计算同一个数据的哈希值。HMAC需要密钥参与计算，只有知道密钥的人才能验证HMAC的正确性。因此HMAC能同时验证消息的完整性和来源的真实性，防止伪造和篡改攻击。建议不要直接用普通哈希做认证。

API签名流程通常是：服务端和客户端共享一个密钥 → 客户端用HMAC对请求参数和时间戳签名 → 将签名附加到请求头 → 服务端用同样密钥和参数重新计算HMAC → 比对签名是否一致。这样既验证了请求的合法性，也防止了重放攻击。许多云服务（如AWS、阿里云）都用HMAC做API认证。

Hex（十六进制）将每个字节表示为两个十六进制字符，可读性好，长度是原始数据的2倍。Base64用64个字符编码，长度约为原始数据的1.33倍，更紧凑。大多数API签名（如JWT、AWS Signature V4）使用Hex格式，而HTTP头部认证常用Base64。两者可互相转换，没有安全性差异。

本工具完全在浏览器本地运行，所有HMAC计算使用浏览器内置的Web Crypto API在你的设备上完成，密钥和消息内容不会上传到任何服务器。即使断开网络连接，工具也能正常工作。你的敏感数据（包括密钥）始终只在你自己的设备上。

使用Web Crypto API在浏览器本地计算HMAC哈希值。适用于API签名、JWT认证、webhook验证、消息完整性校验等场景。

主要功能：