当消息中出现换行符时，java HMAC SHA256不正确

Question

我使用以下代码生成HMAC：

import javax.crypto.{Mac, SecretKey}

def hmac(key: String, data: String): String = {
  val algo = "HmacSHA256"
  val keySpec = new SecretKeySpec(key.getBytes("UTF-8"), algo)
  val mac = Mac.getInstance(algo)
  mac.init(keySpec)
  toHexString(mac.doFinal(data.getBytes("UTF-8")))
}

def toHexString(bytes: Array[Byte]): String = {
  val hexBuffer = new StringBuffer()

  bytes.foreach { byte =>
    val hex = Integer.toHexString(0xff & byte)
    if (hex.length == 1) hexBuffer.append('0')
    hexBuffer.append(hex)
  }

  hexBuffer.toString
}

我借用了互联网上的java示例

只要我签名的数据中没有换行符，它就会为我尝试过的任何数据生成正确的结果

我一直在使用这个工具来验证我的哈希：https://www.freeformatter.com/hmac-generator.html

我使用链接的hmac生成器的输出创建了以下两个测试用例：

assert(hmac("key", "data") === "5031fe3d989c6d1537a013fa6e739da23463fdaec3b70137d828e36ace221bd0")

assert(hmac("key", "data\ndata") === "8e64d91f963cf37ccae4768f7546494dd00b362f53a94853f629359c4e47c5e2")

第一个测试用例通过，但第二个测试用例失败，因为hmac生成：7ec5edf61abbc95f15ffee94ce47ab8889c6d35e7d04ea2924f6b70e55e31acf

我已经用各种各样的单行和多行字符串测试过了，而且当有换行时总是错误的，当它是单行时总是正确的

我做错了什么

Answer 1

您可以在java中看到它需要\r\n。这个carriage return

以下是我的跑步成绩

两行数据的网站字符串如下所示

Answer 2

你应该使用NIST官方测试向量来验证，而不是随机网站的结果

与NIST测试向量的链接：http://csrc.nist.gov/groups/STM/cavp/documents/mac/hmactestvectors.zip

HMAC-SHA256应该是该zip文件中L=32的文件

更多详情/信息请点击此处： 来自Security StackExchange的此问题具有正确的信息：

https://security.stackexchange.com/questions/38411/nist-test-vectors-for-hmac-sha-256