HMAC（雜湊式訊息鑑別碼，Hash-based Message Authentication Code）結合共享秘密金鑰與密碼雜湊函式，為訊息產生固定長度的鑑別標籤：HMAC-SHA-256 為 32 位元組，HMAC-SHA-384 為 48 位元組，HMAC-SHA-512 為 64 位元組。在命令列 HMAC 工具與線上 HMAC 產生器之間做選擇，取決於金鑰存放的位置、運算是否在腳本中執行，以及你對位元組精確輸入的控制嚴格程度。像是使用 HMAC 選項的 openssl dgst，或基於 Node 的 hmac-cli 命令等命令列方法，可將秘密保留在工作站本地，並自然整合到 shell 管線、CI 執行器與批次處理中。以 Web Crypto API 打造的瀏覽器型 HMAC 產生器，則能匯入不可匯出的金鑰，在當前分頁內計算標籤，並以十六進位與 Base64 完整呈現結果，而不將秘密傳送到遠端端點。在相同輸入下，密碼學輸出完全一致，因此真正的選擇在於人體工學、自動化程度與信任邊界管理，而非數學正確性。

hmac generator command line vs online
HMAC 產生器：命令列 vs 線上——如何挑選

命令列 HMAC 工具一覽

三條命令列路徑涵蓋大多數 HMAC 工作：OpenSSL、諸如 hmac-cli 等小型 Node 工具，以及像 Python 的 hmac 模組這類語言內建功能。每種都將秘密金鑰視為位元組（或十六進位字串），訊息同樣以位元組處理，透過所選雜湊函式運算後，以十六進位印出標籤。這些工具都不會將輸入傳送到任何地方；運算在本機執行，stdout 是唯一的輸出通道。

OpenSSL 語法類似 echo -n "message" | openssl dgst -sha256 -mac HMAC -macopt key:secretkey。-macopt key:... 引數預設接受原始字串；若要傳入十六進位金鑰，請使用 hexkey: 前綴。使用 printf '%s' "message" 取代 echo，可避免結尾的換行字元被當成訊息的一部分，從而悄悄改變標籤。若是二進位金鑰，請明確編碼後再用管線傳入，而非作為引數傳遞，因為 shell 引號處理與結尾換行行為，是導致標籤不符的常見來源。

npm 套件 hmac-cli 在 JavaScript 中沿用相同概念：設定 HMAC_SECRET 環境變數，執行 npx hmac-cli generate "message"，即可收到十六進位標籤。其優點在於秘密存於程序環境中，比起貼到網頁表單中，更容易從 CI 腳本中清除。Python 標準程式庫提供 hmac.new(key, msg, hashlib.sha256)，呼叫 .hexdigest() 即可直接回傳小寫標籤，因此這三種選項在相同位元組下會產生相同輸出。

瀏覽器型 HMAC 產生器

在瀏覽器中執行的線上 HMAC 產生器，採用相同的基本原語，但執行於頁面的 JavaScript 環境中。HMAC 產生器 工具使用瀏覽器的 Web Cryptography API：將選定位元組匯入為不可匯出的 WebCrypto HMAC 金鑰，subtle.sign 回傳完整標籤，頁面將結果獨立顯示為十六進位小寫與標準填補 Base64。由於運算在當前分頁內執行，且頁面不會將秘密或訊息傳送至伺服器，你可以檢查網路分頁，確認沒有任何資料離開瀏覽器。

瀏覽器工具可獨立接受 UTF-8 文字或精確的十六進位位元組作為金鑰與訊息，支援 SHA-256、SHA-384 與 SHA-512，並提供八組 RFC 4231 一致性測試向量，讓你能依據已發布的測試資料驗證位元組精確行為。十六進位模式會拒絕奇數 nibble、前綴字元、prefix 與多餘空白，確保意外出現的格式字元不會悄悄改變協議值。空金鑰與空訊息會被拒絕，以防誤觸。每個解碼欄位上限為 1,000,000 位元組，且頁面始終顯示完整輸出而不截斷。

在快速驗證、針對伺服器日誌進行臨時檢查，以及無法安裝工具的環境中，瀏覽器路徑表現尤為出色。它也能視覺化呈現編碼規則：在計算標籤之前，十六進位金鑰中多餘的 0x 前綴或冒號會被標示出來，這在冗長的命令列呼叫中較難察覺。本機執行加上視覺化回饋的組合，使瀏覽器工具成為驗證命令線結果的良好參考基準。

逐步產生 HMAC 標籤

命令列與瀏覽器兩種方法皆遵循相同的、以協議為基礎的工作流程。協議會指定使用的雜湊函式、金鑰位元組以及標籤的編碼方式；工具只是執行者。

  1. 從協議規格中辨識所需的演算法。確認預期的是完整標籤，而非截斷、前綴或前置處理過的變體。
  2. 將金鑰解析為精確位元組。決定協議提供的是 UTF-8 文字還是十六進位字串。若為十六進位，請先去除任何 0x 前綴、冒號或空白，再傳遞給工具。
  3. 將訊息解析為精確位元組。注意行尾慣例（LF 與 CRLF）、結尾空白，以及非 ASCII 字元（如帶腔調字母、CJK 文字或表情符號）是否需要 UTF-8。
  4. 命令列作法：將訊息位元組以管線或引數傳遞給工具，並使用精確的金鑰。printf '%s' "message" | openssl dgst -sha256 -mac HMAC -macopt key:secret 可避免 echo 加入額外結尾換行的問題。
  5. 瀏覽器作法：開啟 HMAC 產生器，分別設定金鑰與訊息的編碼方式，貼上精確位元組，選擇雜湊函式，並以協議要求的編碼（十六進位或標準 Base64）複製標籤。
  6. 進行健全性檢查。在依賴新產生的標籤處理正式流量前，請交叉比對已發布的 RFC 4231 向量或自身協議文件中的數值。
  7. 在伺服器端以定時常數比較進行標籤比對，透過受保護的通道儲存秘密，並於任何疑似遭到破解時輪換金鑰。

兩種方法皆適用的位元組精確規則

兩個系統間 HMAC 標籤不符的最常見原因，並非雜湊函式錯誤，而是位元組錯誤。文字模式編碼將輸入視為 UTF-8，這代表帶腔調字母、CJK 字元與表情符號會跨越多個位元組；若一端視為 ASCII、另一端視為 UTF-8，便會產生不同的訊息位元組序列，進而得到不同的標籤。十六進位模式僅接受偶數個十六進位數字，並保留包括零在內的每個位元組；HMAC 產生器會拒絕奇數 nibble、前綴與多餘空白，避免意外出現的格式字元悄悄改變協議值，而命令列工具同樣需要小心使用 tr -d 或等效的清理作業。

標籤長度由所選雜湊函式決定：SHA-256 為 32 位元組，SHA-384 為 48 位元組，SHA-512 為 64 位元組。HMAC 產生器始終顯示完整輸出，命令列工具預設也是如此。憑肉眼或計算字元數截斷個別輸出，將破壞驗證，除非控管協議明確要求截斷。某些協議基於效能考量會指定較短的輸出長度；此規則應依規格套用，而非憑猜測。

標籤編碼是第三個容易混淆的面向。十六進位與標準填補 Base64 是相同位元組的不同呈現方式，但 Base64url（以 - 與 _ 取代 + 與 /，且常省略填補）並不能互換：以 Base64 解碼器處理 Base64url 字串時，不是發生錯誤就是回傳錯誤的位元組。瀏覽器工具提供十六進位與標準 Base64；若你的協議使用 Base64url，請明確進行轉換。驗證端同樣必須執行相同轉換，標籤才會相符。

命令列 vs 線上：並列比較

每種路徑都有明確的優勢，正確選擇取決於你打算如何使用標籤。下表摘要列出一般使用者會遇到的主要差異。

特性命令列（OpenSSL、hmac-cli、Python hmac）瀏覽器 HMAC 產生器
運算執行位置本機工作站或 CI 執行器透過 Web Crypto 於當前瀏覽器分頁
輸入的網路流量僅限本機 shell I/O，無其他流量無——頁面不會傳送秘密或訊息
常用雜湊選項OpenSSL 或語言函式庫所支援的全部演算法SHA-256、SHA-384、SHA-512
金鑰處理模式從 stdin、檔案或環境變數讀取於表單欄位輸入；以不可匯出的 WebCrypto 金鑰形式匯入
輸出格式預設十六進位；可透過額外旗標輸出 Base64十六進位與標準填補 Base64 並列顯示
最佳適用情境自動化、腳本、CI/CD、批次任務、可重現的管線臨時驗證、人工檢查、針對文件進行快速核對
需留意的限制shell 歷史可能記錄秘密；echo 產生的結尾換行每個解碼欄位上限 1,000,000 位元組；空金鑰與空訊息會被拒絕
可用的一致性檢查視自行撰寫的腳本而定八組已發布的 RFC 4231 向量，用於位元組精確驗證

依使用情境選擇命令列或瀏覽器

若任務位於腳本、建置管線或任何需要以程式化方式簽署酬載的程式碼內，命令列是自然選擇。你可以從迴圈驅動 OpenSSL 或 hmac-cli，擷取 stdout，並將標籤直接送入驗證步驟，無需人工處理。然而，shell 歷史可能會記錄在命令列中傳遞的秘密，因此建議改用環境變數、具有受限權限的檔案，或 stdin，避免金鑰出現在程序列表中。

若任務是驗證從伺服器收到的標籤、重現規格中的數值，或檢查 SDK 在正式環境中產生的結果，瀏覽器產生器速度更快，並能降低不小心提交至永儲系統的風險。HMAC 產生器將輸入保留在分頁內，以不可匯出方式匯入金鑰，並同時以十六進位與 Base64 顯示完整標籤，方便直接與協議的參考值比對。如需深入了解每種雜湊、編碼與輸出組合，HMAC 產生器速查表 以更精簡的形式涵蓋相同規則。

合規團隊通常偏好瀏覽器工具，因為在頁面不上傳輸入的情況下，運算不會留下伺服器端足跡；而開發人員則傾向選擇命令列工具，因為它們能直接嵌入既有自動化流程。兩種路徑並不互斥：團隊可在儲存庫中維護一個可靠的命令列腳本，同時使用瀏覽器工具，在程式碼審查期間依據已發布的 RFC 4231 測試向量抽樣檢查腳本行為。NIST FIPS 198-1 定義了 HMAC 本身的建構方式，凡是涉及標籤長度、金鑰填補規則或雜湊彈性等問題時，都值得將其加入書籤。

延伸閱讀：摩斯密碼翻譯器：命令列 vs 線上。