HMAC 生成器
在浏览器里用 WebCrypto 计算 HMAC-SHA-256/384/512 签名——验证 webhook、API 鉴权、请求签名的必备工具。密钥不出本机。
该工具完全在你的浏览器中运行,数据不会离开你的设备,不会上传到任何服务器。
使用方法
- 1输入共享密钥——与服务端或 webhook 提供方给你的字符串一致。
- 2粘贴原始消息体(精确字节:JSON、query string、时间戳+payload——按 API 签名规则)。
- 3把生成的 hex 或 Base64 签名与 X-Signature 头比对,或用它验证你发出的请求。
HMAC 生成器
HMAC(基于哈希的消息认证码)能证明一条消息确实来自持有共享密钥的人——而密钥本身无需传输。Stripe、GitHub、Slack 等 webhook 都用它给请求体签名;把签名头和你的密钥放进来即可重现并核对。
默认选 SHA-256 即可;想留更大余量选 SHA-512;仅当旧 API 要求时才用 SHA-1。输出同时给出 hex 和 Base64——按服务端要求取用即可。
常见问题
HMAC 和普通哈希有何区别?
任何人都能算 SHA-256(message),但 HMAC(secret, message) 必须持有密钥才能复现——它同时证明来源与完整性,不只是校验和。
webhook 为什么用 HMAC?
Stripe/GitHub 推送请求时会带上请求体的 HMAC 签名。你用 webhook 密钥重算一遍,匹配则说明请求确实来自他们——没有密钥的人无法伪造。
在这里输入密钥安全吗?
安全——全部计算由浏览器 WebCrypto 完成,密钥和消息不离开设备、不传输不记录。但作为习惯,贴进任何网站的密钥都建议定期轮换。
SHA-256 还是 SHA-512?
SHA-256 是绝大多数 API 的默认选择。SHA-512 理论更强、64 位 CPU 上反而更快,规范允许时可以选。SHA-1 只在旧系统强制时使用。
输出能直接进生产代码吗?
可以。格式化、转义、转换都遵循对应规范(RFC、W3C、JSON Schema),而且全程本地执行,提交前你可以先本地验证结果。
大输入能处理吗?
可以。全部本地运行,几 MB 的 JSON 或超长正则测试只受你机器性能限制,不受请求大小限制。
相关工具
SHA-256 生成器
用浏览器原生 WebCrypto 在线计算文本或文件的 SHA-256 哈希——完整性校验与指纹的标准选择,100% 本地处理。
SHA-512 生成器
在浏览器里用原生 WebCrypto 计算 SHA-512 哈希——SHA-2 家族最强的摘要算法,校验和、HMAC 与归档完整性首选。完全本地处理。
JWT 解码
在线解码 JWT:分开查看 header 与 payload,exp/iat 显示为易读时间并标注是否过期。仅解码——不验证、不上传。
TOTP 验证码生成器
基于任意 TOTP 密钥离线生成双因子验证码——RFC 6238、6 或 8 位、实时 30 秒倒计时。密钥绝不离开浏览器。
MD5 生成器
在浏览器里即时计算文本或文件的 MD5 哈希——校验和、去重键、老系统对接都好用。单向不可逆,数据不上传。
Base64 图片
图片与 base64 data URL 双向转换——预览、校验、下载,附精确的体积对比,全部在浏览器本地完成。
JSON 校验
即时校验 JSON,精确报出行列位置。缺逗号、键没加引号、尾逗号、非法转义都能查出来,别让坏 JSON 上线。
JSON 格式化
在线美化凌乱的 JSON——支持 2 空格、4 空格或 Tab 缩进,即时校验并精确报错,全程在浏览器本地完成。
URL 编码
在线百分号编码 URL 和查询字符串——组件编码或整条 URI 编码任选,链接、参数、路径段实时转义,一键复制。
HTML 压缩
在浏览器里压缩 HTML:去注释、折叠空白,给页面减重——保守策略,渲染效果分毫不差,实时显示节省比例。
嵌入这个工具
一行代码把工具放到你的网站——它在访客的浏览器里运行。
<iframe src="https://zoyku.com/zh/tools/hmac-generator?embed=1" width="100%" height="640" style="border:0;border-radius:16px" title="Zoyku — hmac-generator" loading="lazy"></iframe>