HMAC
基于哈希函数的消息认证码算法，通过将消息内容与密钥结合生成认证码，用于验证消息完整性和来源真实性，常用于API签名与授权凭证防篡改
时间轴 (近 90 天)
时序侧信道漏洞源于字符串比较在遇到第一个不同字符时即返回，攻击者可通过测量响应时间逐字节推断 HMAC 正确值；hmac.compare_digest 通过恒定时间比较消除该信道。
HMAC 签名、OAuth token、S3 预签名 URL 等场景均会把过期时间写进凭证本身，而不是依赖双方对时长的默契。
针对Serverless多实例部署会话丢失问题，团队用AES-GCM加密、HMAC签名把游戏会话放进GameID令牌，实现无状态方案，每轮轮换令牌
Cronhq 在触发外部服务时使用 HMAC 签名的 Webhook 以保证调用来源可信
本地验证场景常见加密方案包括RSA非对称加密、HMAC对称签名、AES加密结合时间戳防重放
可对授权凭证采用 HMAC 或数字签名，将完整动作描述序列化后纳入签名范围，执行器验签时若参数被修改签名校验会失败
系统对每个客户加锁以避免同一客户的 Agent 被并发执行导致对话顺序错乱，webhook 携带 HMAC 签名用共享密钥验证真伪
Modelstamp 引入基于共享密钥的 HMAC 认证，可检测产物与清单被同时替换的情况
Modelstamp 选择 HMAC 而非公钥签名，是在轻量与安全强度之间的权衡，适合单一团队内部完整性验证但不适合跨组织信任传递
HMAC 基于对称密钥，通信双方共享同一密钥；公钥数字签名（如RSA、EdDSA）基于非对称密钥对，私钥签名、公钥验证
全部知识事实 (13)
HMAC的变体被广泛应用于OAuth授权、AWS API签名、微信支付签名等主流场景
90%待验证对于MD5、AES、RSA、HMAC等常见加密算法的识别和还原，AI模型表现出极高的准确率
60%待验证HMAC最早由Mihir Bellare等人于1996年在RFC 2104中正式定义
60%待验证时序侧信道漏洞源于字符串比较在遇到第一个不同字符时即返回，攻击者可通过测量响应时间逐字节推断 HMAC 正确值；hmac.compare_digest 通过恒定时间比较消除该信道。
50%待验证HMAC 签名、OAuth token、S3 预签名 URL 等场景均会把过期时间写进凭证本身，而不是依赖双方对时长的默契。
50%待验证针对Serverless多实例部署会话丢失问题，团队用AES-GCM加密、HMAC签名把游戏会话放进GameID令牌，实现无状态方案，每轮轮换令牌
50%待验证Cronhq 在触发外部服务时使用 HMAC 签名的 Webhook 以保证调用来源可信
50%待验证本地验证场景常见加密方案包括RSA非对称加密、HMAC对称签名、AES加密结合时间戳防重放
50%待验证可对授权凭证采用 HMAC 或数字签名，将完整动作描述序列化后纳入签名范围，执行器验签时若参数被修改签名校验会失败
50%待验证系统对每个客户加锁以避免同一客户的 Agent 被并发执行导致对话顺序错乱，webhook 携带 HMAC 签名用共享密钥验证真伪
50%待验证Modelstamp 引入基于共享密钥的 HMAC 认证，可检测产物与清单被同时替换的情况
50%待验证Modelstamp 选择 HMAC 而非公钥签名，是在轻量与安全强度之间的权衡，适合单一团队内部完整性验证但不适合跨组织信任传递
50%待验证HMAC 基于对称密钥，通信双方共享同一密钥；公钥数字签名（如RSA、EdDSA）基于非对称密钥对，私钥签名、公钥验证
50%