Elysia Tools
导航
Security
· 最后更新：2026-06-23
使用 SHA-1/SHA-2/SHA-3/BLAKE2 对消息+共享密钥计算 HMAC 消息认证签名，或对收到的签名做验证（恒定时间比对），并内置 Stripe / Slack / GitHub 的 webhook 预设
详情
HMAC（基于哈希的消息认证码）证明消息来自持有共享密钥的一方且未被篡改——它是 Stripe、Slack、GitHub、Shopify 等绝大多数 webhook 的标准签名机制。
本工具支持两种模式：
crypto.timingSafeEqual 做恒定时间比对，告诉你是否匹配，以及期望值与计算值的差异。Webhook 预设会自动选用正确的算法、编码与（Slack/GitHub 的）签名前缀，并说明各家签名约定。
全部在本地用 Node crypto 计算，密钥不会离开本次请求。
执行
填写表单、运行工具，并在同一页面查看结果。
案例
相关内容
工具使用指南
HMAC 生成与验证器是一款专为开发者设计的安全工具，支持使用 SHA-1、SHA-2、SHA-3 及 BLAKE2 算法对原始消息和共享密钥计算 HMAC 消息认证签名。工具内置 Stripe、Slack 和 GitHub 等常见 Webhook 预设，并提供基于恒定时间比对的签名验证功能，确保数据传输的完整性与来源真实性。
背景
正在接入 Stripe 支付回调，但在服务器端验证 Stripe 签名时持续报错，需要确认是代码逻辑问题还是密钥配置错误。
问题
快速验证接收到的 Stripe Webhook 请求体与签名是否匹配。
如何使用
选择“对签名进行验证”模式，在 Webhook 预设中选择“Stripe”，粘贴原始 JSON 请求体到消息框，输入 Stripe 的 Webhook 密钥，并在待验证签名框中粘贴 Stripe 发送的签名，点击执行。
{"mode": "verify", "preset": "stripe", "algorithm": "sha256", "encoding": "hex"}结果
工具通过恒定时间比对确认签名是否匹配，并直观展示期望的签名与实际计算的签名，帮助定位问题。
背景
需要为合作伙伴提供一个安全的 API 接口，要求对方在请求头中携带基于 HMAC-SHA256 算法生成的 Hex 格式签名。
问题
生成一个标准的 HMAC 签名作为接口文档中的测试用例。
如何使用
选择“仅生成”模式，输入测试请求体文本，输入双方约定的共享密钥，选择“SHA-256”算法和“Hex”编码，点击生成。
{"mode": "generate", "algorithm": "sha256", "encoding": "hex"}结果
成功生成对应的 Hex 格式 HMAC 签名，可直接写入 API 规范文档供调用方参考。
请确保输入的原始消息与接收到的原始请求体完全一致，不要重新格式化 JSON，因为任何字节差异都会导致签名失效。
恒定时间比对在比较两个字符串时耗时固定，能有效防止攻击者通过测量比对耗时来破解签名的时序攻击。
不会。所有 HMAC 计算和签名验证均在本地浏览器中完成，您的共享密钥和消息绝不会发送到任何外部服务器。
预设会自动配置对应平台（如 Stripe 或 Slack）所要求的哈希算法、输出编码以及特定的签名前缀，简化调试流程。
支持 SHA-1、SHA-2 (SHA-256/384/512)、SHA-3 (SHA3-256/512) 和 BLAKE2 (2s-256/2b-512) 算法，输出编码支持 Hex、Base64 和 Base64url。