解决 Go 语言中 hmac.Equal 未定义错误及 HMAC 签名验证实践

package main

import (
    "crypto/hmac"
    "crypto/sha256"
    "encoding/hex"
    "fmt"
)

// 假设有一个全局或通过其他方式传入的秘密密钥
// 在实际应用中，密钥应通过安全方式管理和分发
var secretKey = []byte("your-very-secret-key-that-should-be-long-and-random")

// generateSignature 为给定的数据生成 HMAC-SHA256 签名
func generateSignature(data string) string {
    // 使用 SHA256 和秘密密钥初始化 HMAC
    mac := hmac.New(sha256.New, secretKey)
    // 将数据写入 HMAC 实例
    mac.Write([]byte(data))
    // 计算 HMAC 值
    b := mac.Sum(nil)
    // 将字节切片编码为十六进制字符串以便传输
    return hex.EncodeToString(b)
}

// validateSignature 验证给定的数据和签名是否匹配
func validateSignature(data, signature string) bool {
    // 使用相同的哈希函数和秘密密钥重新计算预期签名
    mac := hmac.New(sha256.New, secretKey)
    mac.Write([]byte(data))
    expectedMAC := mac.Sum(nil)

    // 解码接收到的签名（十六进制字符串转字节切片）
    signatureMAC, err := hex.DecodeString(signature)
    if err != nil {
        fmt.Println("签名解码失败:", err)
        return false
    }

    // 使用 hmac.Equal 进行常量时间比较，防止时序攻击
    return hmac.Equal(expectedMAC, signatureMAC)
}

package main

import (
    "crypto/hmac"
    "crypto/sha256"
    "encoding/hex"
    "fmt"
)

// 秘密密钥，在实际应用中应从安全配置中加载
var secretKey = []byte("your-very-secret-key-that-should-be-long-and-random")

// generateSignature 为给定的数据生成 HMAC-SHA256 签名
func generateSignature(data string) string {
    mac := hmac.New(sha256.New, secretKey)
    mac.Write([]byte(data))
    b := mac.Sum(nil)
    return hex.EncodeToString(b)
}

// validateSignature 验证给定的数据和签名是否匹配
func validateSignature(data, signature string) bool {
    mac := hmac.New(sha256.New, secretKey)
    mac.Write([]byte(data))
    expectedMAC := mac.Sum(nil)

    signatureMAC, err := hex.DecodeString(signature)
    if err != nil {
        fmt.Println("签名解码失败:", err)
        return false
    }

    return hmac.Equal(expectedMAC, signatureMAC)
}

func main() {
    message := "Hello, Go HMAC!"

    // 生成签名
    signature := generateSignature(message)
    fmt.Printf("原始消息: \"%s\"\n", message)
    fmt.Printf("生成的签名: %s\n", signature)

    // 验证正确签名
    isValid := validateSignature(message, signature)
    fmt.Printf("验证签名 (正确): %t\n", isValid) // 预期为 true

    // 尝试验证错误签名（消息被篡改）
    tamperedMessage := "Hello, Go HMAC! (tampered)"
    isTamperedValid := validateSignature(tamperedMessage, signature)
    fmt.Printf("验证签名 (消息篡改): %t\n", isTamperedValid) // 预期为 false

    // 尝试验证错误签名（签名被篡改）
    invalidSignature := "abcdef1234567890" // 任意错误的十六进制字符串
    isInvalidSigValid := validateSignature(message, invalidSignature)
    fmt.Printf("验证签名 (签名篡改): %t\n", isInvalidSigValid) // 预期为 false

    // 模拟 Go 版本过低导致 hmac.Equal 无法使用的情况（仅为说明，实际代码不会编译通过）
    // if goVersion < 1.3 {
    //    fmt.Println("警告: Go 版本低于 1.3，hmac.Equal 函数不可用。请升级 Go 版本。")
    // }
}