几个函数的 PHP 和 CryptoJS 输出不匹配答案

【问题标题】：PHP and CryptoJS output does not match for several functions几个函数的 PHP 和 CryptoJS 输出不匹配
【发布时间】：2021-01-14 23:55:49
【问题描述】：

我们需要从 php laravel 后端调用第三方 api。要调用该 api，我们需要以签名形式发送一些数据以用于授权目的。对于签名过程，提供了以下抽象方法

signature = base64(hmacSHA256(utf8EncodingOf(partnerSecret), utf8EncodingOf(stringToSign)))

他们还提供了一个邮递员集合来测试 api。在调查该集合时，我们偶然发现了使用 CryptoJS 库进行签名生成的“预请求脚本”。

主要问题出现在签名过程的开始，在此之前所有的输出都是相同的。

考虑下面的带有 CryptoJS 的 JS 代码。

    let stringToSign = 'aReallyLongStringNeededToBeSigned';
    let secret = 'thisIsVerySecret';

    stringToSign = CryptoJS.enc.Utf8.parse(stringToSign);
    let key = CryptoJS.enc.Utf8.parse(secret);
    console.log('after encode stringToSign => '+stringToSign);
    console.log('after encode key => '+key);

    let hash = CryptoJS.HmacSHA256(stringToSign, key);
    let signature = ''+CryptoJS.enc.Base64.stringify(hash);
    console.log('generated hash => '+hash);
    console.log('generated signature => '+signature);

给出以下输出：

after encode stringToSign => 615265616c6c794c6f6e67537472696e674e6565646564546f42655369676e6564
after encode key => 74686973497356657279536563726574
generated hash => 703e481c7e9a0409a0a78853679e15d34f7ce8972b8d9678471cd0d98f4e61cf
generated signature => cD5IHH6aBAmgp4hTZ54V00986JcrjZZ4RxzQ2Y9OYc8=

现在考虑以下 PHP 代码进行类似的工作：

        $stringToSign = 'aReallyLongStringNeededToBeSigned';
        $secret = 'thisIsVerySecret';

        $stringToSign = utf8_encode($stringToSign);
        $key = utf8_encode($secret);
        Log::info('after encode stringToSign => '.$stringToSign);
        Log::info('after encode key => '.$key);

        $hash = hash_hmac('sha256', $stringToSign, $key, true);
        $signature = base64_encode($hash);
        Log::info('generated hash => '.$hash);
        Log::info('generated signature => '.$signature);

在 PHP 中，它给出以下输出。

after encode stringToSign => aReallyLongStringNeededToBeSigned  
after encode key => thisIsVerySecret  
generated hash => p>H~�   ���Sg��O|�+��xG�ُNa�  
generated signature => cD5IHH6aBAmgp4hTZ54V00986JcrjZZ4RxzQ2Y9OYc8=

不同之后的输出。它从 utf8 编码方法开始。我们也试过用 CryptoJS 生成的编码输出看 php 的 hmacSha256 如下。

$hash = hash_hmac('sha256', "615265616c6c794c6f6e67537472696e674e6565646564546f42655369676e6564",
            "74686973497356657279536563726574", true);

随着最后一个值在真假之间调整，输出如下。

generated hash => (,F\=�V�կ��w}��@��j6�z�VP�S  // true
generated hash => 281e2c465c3dbd56b1d5af84ea777d92e34095e16a0f360ee87a7fa156509f53 // false

我们肯定在这里遗漏了一些东西。所以问题是：

为什么相同的哈希算法的输出不同（特别是 hmacSha256）？
还有什么函数可以让 PHP 获得与 CryptoJS 相似的结果？

请分享您的宝贵发现。提前谢谢.....

N.B.：我们已经看到了以下内容。但这些并不能帮助我们获得所需的输出。

【问题讨论】：

“为什么相同散列算法的输出不同（特别是 hmacSha256）？” - 唯一可能的答案：因为您的输入数据不同.
您将 PHP 脚本存储在什么字符编码中？如果 已经是 UTF-8，那么您可能不应该将utf8_encode 应用于您的输入值，因为那样会使编码“加倍”。
是的，刚刚测试了它 - base64_encode(hash_hmac('sha256', 'aReallyLongStringNeededToBeSigned', 'thisIsVerySecret', true)); 的结果是 cD5IHH6aBAmgp4hTZ54V00986JcrjZZ4RxzQ2Y9OYc8=，如果该脚本已经存储为 UTF-8。
@04FS 感谢您的发现。由于 utf8_encode 的输出在文件或 dd 中相似。所以无法正常发现差异。虽然我仍然很困惑，但是如果没有 utf8_encode 它实际上可以工作。非常感谢.....
@04FS 如果您将此添加为答案，我将接受此.....

标签： javascript php utf-8 hmac cryptojs

【解决方案1】：

您将 PHP 脚本存储在什么字符编码中？如果那已经是 UTF-8，那么您不应该将 utf8_encode 应用于您的输入值，因为那样会“加倍”编码。

如果您的脚本已经以 UTF-8 编码保存，那么

base64_encode(hash_hmac('sha256', 'aReallyLongStringNeededToBeSigned', 'thisIsVerySecret', true));

得到你cD5IHH6aBAmgp4hTZ54V00986JcrjZZ4RxzQ2Y9OYc8=，这正是你想要的结果。

【讨论】：