HMAC是雜湊運算訊息認證碼 (Hash-based Message Authentication Code)，HMAC運算利用雜湊演算法，以一個金鑰和一個訊息為輸入，生成一個訊息摘要作為輸出。HMAC-SHA1簽名演算法是一種常用的簽名演算法，用於對一段資訊進行生成簽名摘要。

生成一個隨機祕鑰(python範例)：

#coding:utf-8

from Crypto.PublicKey import RSA
from Crypto import Random
import hashlib

#get random sk
def get_sk():
    random_generator = Random.new().read
    key = RSA.generate(1024, random_generator)
    exportedKey = key.exportKey()
    return hashlib.sha1(exportedKey).hexdigest()

print get_sk()
 

使用祕鑰和訊息生成一個簽名(python範例)：

#coding:utf-8

import hashlib
import hmac
import base64

# 祕鑰
sk = "e3988cce1bdcd1db1b0a1313e598b12040d4e16f"

# 需要加密的msg，自定義
msg = "GET\nuid:001\n1467556840"


#授權
def get_authorization(sk, msg):
    hashing = hmac.new(sk, msg, hashlib.sha1).hexdigest()
    return hashing

print get_authorization(sk, msg)
 

需要注意哪些問題：

a) hmac-sha1可以認為是不可逆的加密演算法，sk只能儲存在伺服器，不能通過任何途徑傳輸給客戶端

b) 伺服器發一個簽名給客戶端，此後伺服器通過簽名來校驗客戶端的訪問許可權

c) msg通過明文傳輸，然後伺服器使用sk和傳輸的msg生成簽名進行校驗 

d) 客戶端和伺服器通過生成的簽名是否一致判斷校驗是否通過

ps:實際應用遠比這兩個小例子複雜，

由於sk不能明文傳輸，需要設計一個ak/sk對，ak用於明文傳輸，伺服器根據ak從資料庫查詢對應的sk，同時伺服器也需要判斷該使用者是否擁有ak的所有權。

通常時間戳也應該加入到msg中，並明文傳輸一份給伺服器，伺服器先通過明文傳遞的時間戳校驗是否過期，再通過簽名校驗時間戳是否正確。

適用場景：

比如亞馬遜對外提供雲端儲存服務，A公司購買了亞馬遜的服務，亞馬遜給A公司註冊了獨有的ak/sk(每個公司的祕鑰都不一樣)並告知A公司，同時告知A公司加密演算法原理，並要求A公司必須把sk儲存在伺服器上，否則祕鑰洩露了A公司需要自行承擔責任。

A公司在亞馬遜存放了一批資源，那麼A公司的使用者B訪問亞馬遜時，使用者B先到A公司的伺服器申請一個簽名，使用者B拿著簽名到亞馬遜獲取資源，亞馬遜根據約定的演算法校驗使用者B的訪問許可權。

注意：本質上有別於OAuth 2.0，因為使用者B屬於A公司的，而不是亞馬遜的。

End;