爲HMAC-SHA1生成消費者密鑰/祕密

Question

我正在尋找一種編程方式來爲HMAC-SHA1生成消費者密鑰/祕密，供客戶端在OAuth上調用我們的API使用。任何指向現有實現的指針都會非常有幫助。

Answer 1

從隨機數據生成時，祕密效果最好。這樣就沒有外部數據可以幫助攻擊者推斷或猜測部分或整個密鑰。當然，這取決於您的密鑰需要多少保護。 Java在java.util.Random中包含一些隨機數生成器（從JDK1.0開始）。如果您沒有向後兼容性問題，則Java 6具有符合FIPS 140-2要求的java.security.SecureRandom。 Java庫並非真正的隨機，但它對大多數應用程序來說可能足夠好。如果你需要更好的隨機數據，你應該選擇一個基於硬件的隨機生成器。