浅析基于hmac的访问安全机制

通过web提供服务，最忌讳就是访问安全问题，服务被别人非法访问。通常使用hmac，结合hash算法md5，sha1或sha256等。盐就是客户端的密钥。

与一些网站登录不同的是，这里面产生签名的是字串是用户主动确定的。有一个开始时间和过期时间，这样即使被别人冒用，也是暂时的有效。网站登录，服务端给客户端下发nonce，这一过程称之为challenge。做的好的，还要求客户端将登录的时间，服务端生成的验证码拼接成字串，再用HMAC加密。