security - 如何创建时间限制的哈希/ key ？

Question

我正在尝试创建一个有时间限制的 key 以在我的一个应用程序中使用。 key 用于解锁应用程序中的某些功能。

目前我的想法是

生成:加密散列我需要的各种信息 + key 生成日期

验证:加密散列我需要的各种信息+现在的日期

如果所有信息都相同且日期相同，我得到相同的值

但是，

这意味着 key 仅在特定日期有效。我想要的是一个在接下来的 24 小时内有效的 key (或延长几天/周/月)。

我可以延长期限，但总是有可能在期限到期之前生成 key ，例如每月的最后一天生成一个月的 key 。

首先，这是一种可以接受的处理方式吗？如果可以，我该怎么做？

我知道“倒转”时钟会破坏系统 - 但我仍然有兴趣征求一些意见

我已阅读 How do I generate a time limited key or password without storing data这是一个类似的问题。

Answer 1

您可以将过期日期作为 token 的一部分，并使用 MAC 验证整个数据。像 HMAC:

token = data ":" expiration ":" HMAC(key, data ":" expiration)

要验证 token ，您只需比较给定的过期数据，并为提供的数据与 secret key 重新生成MAC >.

如果提供的任何参数被篡改，MAC 将不同，因为需要 secret key 来生成真实的 MAC。