Go语言中HMAC签名与验证实践：解决hmac.Equal未定义错误

package main

import (
    "crypto/hmac"
    "crypto/sha256"
    "encoding/hex"
    "fmt"
)

// 定义一个全局或通过配置传入的密钥
// 在实际应用中，密钥应安全生成和管理，不应硬编码
var hmacKey = []byte("super-secret-key-that-should-be-long-and-random")

// generateSignature 函数用于生成给定数据的HMAC签名
func generateSignature(data string) string {
    // 使用SHA256哈希函数和预设密钥创建HMAC实例
    mac := hmac.New(sha256.New, hmacKey)
    // 将数据写入HMAC实例
    mac.Write([]byte(data))
    // 计算HMAC值
    signatureBytes := mac.Sum(nil)
    // 将字节切片编码为十六进制字符串以便传输或存储
    return hex.EncodeToString(signatureBytes)
}

// validateSignature 函数用于验证给定数据的HMAC签名是否有效
func validateSignature(data, receivedSignature string) bool {
    // 使用相同的哈希函数和密钥重新计算期望的MAC
    mac := hmac.New(sha256.New, hmacKey)
    mac.Write([]byte(data))
    expectedMAC := mac.Sum(nil)

    // 解码接收到的十六进制签名字符串
    receivedMAC, err := hex.DecodeString(receivedSignature)
    if err != nil {
        fmt.Printf("错误：解码签名失败 - %v\n", err)
        return false
    }

    // 使用hmac.Equal进行恒定时间比较，防止时间侧信道攻击
    return hmac.Equal(expectedMAC, receivedMAC)
}

package main

import (
    "crypto/hmac"
    "crypto/sha256"
    "encoding/hex"
    "fmt"
    "log"
)

// 密钥应该是一个安全生成的随机字节序列，且长度足够。
// 在生产环境中，切勿硬编码密钥，应从安全配置或环境变量中加载。
var hmacKey = []byte("a-very-secret-and-strong-key-for-hmac-operations-1234567890")

// generateSignature 根据给定数据生成HMAC签名
func generateSignature(data string) string {
    mac := hmac.New(sha256.New, hmacKey)
    mac.Write([]byte(data))
    signatureBytes := mac.Sum(nil)
    return hex.EncodeToString(signatureBytes)
}

// validateSignature 验证给定数据和签名的有效性
func validateSignature(data, receivedSignature string) bool {
    // 重新计算期望的MAC
    mac := hmac.New(sha256.New, hmacKey)
    mac.Write([]byte(data))
    expectedMAC := mac.Sum(nil)

    // 解码接收到的签名
    receivedMAC, err := hex.DecodeString(receivedSignature)
    if err != nil {
        log.Printf("错误：解码接收到的签名失败: %v\n", err)
        return false
    }

    // 使用hmac.Equal进行安全比较
    return hmac.Equal(expectedMAC, receivedMAC)
}

func main() {
    message := "Hello, world! This is a test message."

    // 1. 生成签名
    signature := generateSignature(message)
    fmt.Printf("原始消息: \"%s\"\n", message)
    fmt.Printf("生成的签名: %s\n", signature)

    // 2. 验证有效签名
    isValid := validateSignature(message, signature)
    fmt.Printf("验证签名是否有效 (正确消息和签名): %t\n", isValid) // 应该为 true

    // 3. 验证无效签名 (消息被篡改)
    tamperedMessage := "Hello, world! This is a tampered message."
    isInvalidMessage := validateSignature(tamperedMessage, signature)
    fmt.Printf("验证签名是否有效 (篡改消息): %t\n", isInvalidMessage) // 应该为 false

    // 4. 验证无效签名 (签名被篡改)
    tamperedSignature := "abcdef1234567890" // 一个随机的、错误的签名
    isInvalidSignature := validateSignature(message, tamperedSignature)
    fmt.Printf("验证签名是否有效 (篡改签名): %t\n", isInvalidSignature) // 应该为 false

    // 5. 验证一个解码失败的签名
    invalidHexSignature := "not-a-valid-hex-string"
    isDecodeFailed := validateSignature(message, invalidHexSignature)
    fmt.Printf("验证签名是否有效 (无法解码的签名): %t\n", isDecodeFailed) // 应该为 false
}