迁移Blazor至.NET5后，CryptoJS与C#的HmacSHA256结果不一致

你遇到的CryptoJS和C#生成HMAC-SHA256结果不一致的问题，本质上两者的算法实现是完全一致的，大概率是代码细节或环境配置导致的差异，下面一步步帮你排查和解决：

1. 先简化JS代码，排除冗余步骤 #

你的JS代码里手动将密钥和数据转成WordArray的操作其实是多余的——CryptoJS的HmacSHA256方法会默认用UTF-8编码处理字符串参数，简化后的代码更易定位问题：

const getHmac = (privateKey, data) => {
  // 直接传入字符串，CryptoJS自动按UTF-8编码处理
  return window.CryptoJS.HmacSHA256(data, privateKey);
};
// 直接调用toString获取十六进制字符串，和Hex.stringify效果完全一致
const result = getHmac("123", "abc").toString(window.CryptoJS.enc.Hex);

2. 验证基础编码是否一致 #

生成HMAC的核心前提是密钥和数据的UTF-8字节数组完全匹配，你可以分别在两端输出字节数组确认：

C#端验证字节数组 #

var keyBytes = Encoding.UTF8.GetBytes("123");
Console.WriteLine(string.Join(",", keyBytes)); // 预期输出：49,50,51
var dataBytes = Encoding.UTF8.GetBytes("abc");
Console.WriteLine(string.Join(",", dataBytes)); // 预期输出：97,98,99

JS端验证字节数组 #

const getUtf8Bytes = (str) => {
  const encoder = new TextEncoder();
  return encoder.encode(str);
};
console.log(getUtf8Bytes("123")); // 预期输出：Uint8Array(3) [49, 50, 51]
console.log(getUtf8Bytes("abc")); // 预期输出：Uint8Array(3) [97, 98, 99]

如果两边的字节数组不一致，说明字符串本身存在隐形差异（比如包含空格、换行、BOM标记，或编码格式不统一），需要先统一字符串内容。

3. 确认CryptoJS的引入是否完整 #

CryptoJS是模块化设计的，如果只引入了部分模块（比如只引入HMAC但没引入SHA256核心），会导致计算结果错误。确保你引入了完整的CryptoJS库，或至少包含以下核心模块：

• core.js
• sha256.js
• hmac-sha256.js

4. 验证标准结果 #

对于密钥"123"和数据"abc"，正确的HMAC-SHA256十六进制结果是：

b8f68b928d2f6d431dc782347854d9e68f0338524a7c8d2b73f58e085558f60b

让两端代码都输出这个结果，看哪一边不符合，就能快速定位问题所在。

5. 再次确认参数顺序 #

虽然你的代码里参数顺序看起来正确，但务必再核对：

• JS中HmacSHA256(data, key)是数据在前，密钥在后
• C#中HMACSHA256(keyArray).ComputeHash(dataBytes)是先初始化密钥，再传入数据，顺序完全匹配

如果不小心把参数传反，结果必然会不同。

内容的提问来源于stack exchange，提问作者Robi