Python 使用 HMAC 实现轻量级客户端认证

江屿

发布时间：2026-10-14| 5人浏览过

原创

本文介绍如何在 Python 分布式系统中利用 hmac 模块实现轻量级的客户端连接认证。通过服务器发送随机字节、双方计算 HMAC 摘要并使用 compare_digest 进行恒定时间比较，可有效防止时间分析攻击。方案适用于内部进程间通信，但需注意认证不等于加密，后续通信仍为明文。

问题背景

问题

在分布式系统架构中，若需实现基础的客户端连接身份验证，且希望避免 SSL/TLS 等复杂协议带来的开销与配置难度，该如何处理？

解决方案与实现

解决方案

可以通过 Python 标准库中的 hmac 模块构建一个连接握手流程，从而达成简单且高效的身份验证目标。具体实现参考以下代码示例：


import hmac
import os

def client_authenticate(connection, secret_key):
  '''
  Authenticate client to a remote service.
  connection represents a network connection.
  secret_key is a key known only to both client/server.
  '''
  message = connection.recv(32)
  hash = hmac.new(secret_key, message)
  digest = hash.digest()
  connection.send(digest)

def server_authenticate(connection, secret_key):
  '''
  Request client authentication.
  '''
  message = os.urandom(32)
  connection.send(message)
  hash = hmac.new(secret_key, message)
  digest = hash.digest()
  response = connection.recv(len(digest))
  return hmac.compare_digest(digest,response)

核心原理在于：连接建立后，服务器向客户端发送一段随机字节数据（示例中通过 os.urandom() 生成）。客户端与服务器各自使用共享的密钥和该随机消息，利用 hmac 计算出一个加密哈希摘要。随后，客户端将计算出的摘要发送至服务器，服务器将其与自身计算的摘要进行比对，以此决定是否允许连接。在比较环节，必须使用 hmac.compare_digest() 函数，严禁使用简单的相等操作符（==），以抵御时间分析攻击。为应用此机制，需将其集成至现有的网络或消息处理代码中。以 socket 为例，服务器端代码结构大致如下：


from socket import socket, AF_INET, SOCK_STREAM

secret_key = b'peekaboo'
def echo_handler(client_sock):
  if not server_authenticate(client_sock, secret_key):
    client_sock.close()
    return
  while True:

    msg = client_sock.recv(8192)
    if not msg:
      break
    client_sock.sendall(msg)

def echo_server(address):
  s = socket(AF_INET, SOCK_STREAM)
  s.bind(address)
  s.listen(5)
  while True:
    c,a = s.accept()
    echo_handler(c)

echo_server(('', 18000))

Within a client, you would do this:

from socket import socket, AF_INET, SOCK_STREAM

secret_key = b'peekaboo'

s = socket(AF_INET, SOCK_STREAM)
s.connect(('localhost', 18000))
client_authenticate(s, secret_key)
s.send(b'Hello World')
resp = s.recv(1024)