PROBLEMA
Al parecer el problema está en la implementación que tienes de tu cadena en PHP, y lo que tratas de replicar en Javascript.
Tienes la siguiente cadena de entrada:
'Action=FeedList&Format=XML&Timestamp=2015-07-01T11%3A11%3A11%2B00%3A00&UserID=look%40me.com&Version=1.0'
La cual a simple vista es una URI codificada, es decir, ciertos caracteres han sido codificados para ser reemplazados por secuencias UTF-8.
Luego en PHP tienes lo siguiente:
rawurlencode(hash_hmac('sha256', $cadena, $clave, false));
Analicemos un momento esta línea.
Realizas el proceso de hash
de tu cadena, pasando el digest
, el secreto y le dices que la salida sean dígitos hexadecimales en minúsculas.
Luego, a esa salida le aplicas la función rawurldecode
, cosa a la cual no le encuentro sentido.
El resultado obtenido es:
'3ceb8ed91049dfc718b0d2d176fb2ed0e5fd74f76c5971f34cdab48412476041'
Si no aplicamos la función rawurldecode
el código queda:
hash_hmac('sha256', $cadena, $clave, false);
Si mostramos la salida de dicho comando, el resultado es:
'3ceb8ed91049dfc718b0d2d176fb2ed0e5fd74f76c5971f34cdab48412476041'
Sorpresa, la función rawurldecode
no afecta para nada el resultado del hash
cuando la aplicas sobre el mismo hash
, pero veamos que pasa si la aplicamos sobre la cadena original (que viene codificada) y luego calculamos el hash
:
$clave = 'b1bdb357ced10fe4e9a69840cdd4f0e9c03d77fe';
$cadena = 'Action=FeedList&Format=XML&Timestamp=2015-07-01T11%3A11%3A11%2B00%3A00&UserID=look%40me.com&Version=1.0';
$decoded = rawurldecode($cadena);
hash_hmac('sha256', $decoded, $clave, false);
El resultado del código anterior es:
'af2943cd9b2bc960b02a4f4a992fedd2ffe849ac5e9e82bb1bd822d4d75f55be'
Interesante, coincide con el valor de hash
que calculas con Javascript. Si mostramos la cadena decodificada (echo $decoded
) esto es lo que tenemos:
'Action=FeedList&Format=XML&Timestamp=2015-07-01T11:11:11+00:00&[email protected]&Version=1.0'
SOLUCIÓN
Según yo lo veo tienes 2 opciones:
- Usar la cadena sin codificar y calcular el
hash
con Javascript
- Calcular el hash sobre la cadena codificada.
Esto producirá 2 resultados diferentes, ya que la cadena decodificada no es igual a la cadena codificada en este caso.
En tu pregunta dices que necesitas el hash
que ya obtienes con PHP. Aunque tu metodología no es la correcta (ya vimos porqué).
Intuyo, por el resultado que dices obtener en Javascript, que la cadena que pasas para calcular el hash
no viene codificada. Para nosotros los programadores puede tener el mismo significado una cadena codificada que una decodificada, pero para un proceso de hash
son cadenas totalmente diferentes.
La solución es escoger sobre qué tipo de cadena vas a realizar el hash
.
Supongamos que deseo realizar el hash
sobre una cadena no codificada (o decodificada).
En PHP lo tenemos así:
$clave = 'b1bdb357ced10fe4e9a69840cdd4f0e9c03d77fe';
$cadena = 'Action=FeedList&Format=XML&Timestamp=2015-07-01T11%3A11%3A11%2B00%3A00&UserID=look%40me.com&Version=1.0';
$decoded = rawurldecode($cadena);
$hash = hash_hmac('sha256', $decoded, $clave, false);
echo $hash;
El resultado:
'af2943cd9b2bc960b02a4f4a992fedd2ffe849ac5e9e82bb1bd822d4d75f55be'
En Javascript, no hace falta decodificar la cadena. (Asumo que la misma la pasas sin codificar):
const clave = 'b1bdb357ced10fe4e9a69840cdd4f0e9c03d77fe';
let cadena = 'Action=FeedList&Format=XML&Timestamp=2015-07-01T11:11:11+00:00&[email protected]&Version=1.0';
let firma = CryptoJS.HmacSHA256(cadena, clave);
let base64 = firma.toString(CryptoJS.enc.hex);
document.getElementById('output').innerHTML = `<small>${base64}</small>`;
<link rel="stylesheet" href="https://stackpath.bootstrapcdn.com/bootstrap/4.5.0/css/bootstrap.min.css" integrity="sha384-9aIt2nRpC12Uk9gS9baDl411NQApFmC26EwAOH8WgZl5MYYxFfc+NcPb1dKGj7Sk" crossorigin="anonymous">
<script src="https://cdnjs.cloudflare.com/ajax/libs/crypto-js/4.0.0/crypto-js.min.js" integrity="sha256-6rXZCnFzbyZ685/fMsqoxxZz/QZwMnmwHg+SsNe+C/w=" crossorigin="anonymous"></script>
<div class="container-fluid text-center" id="output"><div>
Claramente ambos resultados son coincidentes, ya que estamos aplicando la misma función hash
con los mismos parámetros, sobre la misma cadena.
Ahora, imaginemos que deseamos calcular el hash
sobre una cadena codificada.
En PHP basta con no usar el método rawurldecode
, pero en Javascript debemos codificar la cadena si la misma no la tenemos o no la recibimos codificada.
En Javascript tenemos el método encodeURI
y el método encodeURIComponent()
.
Veamos ambos en acción sobre la cadena no codificada:
let resultadoDeseado = 'Action=FeedList&Format=XML&Timestamp=2015-07-01T11%3A11%3A11%2B00%3A00&UserID=look%40me.com&Version=1.0';
let cadena = 'Action=FeedList&Format=XML&Timestamp=2015-07-01T11:11:11+00:00&[email protected]&Version=1.0';
//usando encodeURI
let encoded1 = encodeURI(cadena);
console.log(encoded1);
console.log(`¿Es encoded1 === resultadoDeseado? ${encoded1 === resultadoDeseado}`);
//usando encodeURIComponent
let encoded2 = encodeURIComponent(cadena);
console.log(encoded2);
console.log(`¿Es encoded2 === resultadoDeseado? ${encoded2 === resultadoDeseado}`);
//resultado deseado
console.log(resultadoDeseado);
Ninguno de los dos métodos dio el resultado esperado, y es que el primero no hizo nada, y el segundo puso secuencias de escape donde no las había antes.
Para solucionar esto, vamos a aplicar secuencias de escape a los valores que lo requieren. En este caso tenemos una cadena del tipo key=value
, por lo tanto debemos aplicar la codificación sobre cada elemento de tipo value
en la cadena.
Una forma sería la siguiente:
let resultadoDeseado = 'Action=FeedList&Format=XML&Timestamp=2015-07-01T11%3A11%3A11%2B00%3A00&UserID=look%40me.com&Version=1.0';
let cadena = 'Action=FeedList&Format=XML&Timestamp=2015-07-01T11:11:11+00:00&[email protected]&Version=1.0';
let array = cadena.split('&');
let encodedArray = array.map(element => {
let key = element.split('=')[0];
let value = encodeURIComponent(element.split('=')[1]);
return key.concat('=').concat(value);
});
let encoded = encodedArray.join('&');
console.log(encoded);
console.log(resultadoDeseado);
console.log(`¿Es encoded === resultadoDeseado? ${encoded === resultadoDeseado}`);
Con esto ya podemos aplicar de forma segura el método hash
a la cadena que hemos codificado usando encodeURIComponent
aplicado sobre cada elemento de tipo value
en la cadena.
El resultado sería:
let cadena = 'Action=FeedList&Format=XML&Timestamp=2015-07-01T11:11:11+00:00&[email protected]&Version=1.0';
let array = cadena.split('&');
let encodedArray = array.map(element => {
let key = element.split('=')[0];
let value = encodeURIComponent(element.split('=')[1]);
return key.concat('=').concat(value);
});
let encoded = encodedArray.join('&');
const clave = 'b1bdb357ced10fe4e9a69840cdd4f0e9c03d77fe';
let firma = CryptoJS.HmacSHA256(encoded, clave);
let base64 = firma.toString(CryptoJS.enc.hex);
document.getElementById('output').innerHTML = `<small>${base64}</small>`;
<link rel="stylesheet" href="https://stackpath.bootstrapcdn.com/bootstrap/4.5.0/css/bootstrap.min.css" integrity="sha384-9aIt2nRpC12Uk9gS9baDl411NQApFmC26EwAOH8WgZl5MYYxFfc+NcPb1dKGj7Sk" crossorigin="anonymous">
<script src="https://cdnjs.cloudflare.com/ajax/libs/crypto-js/4.0.0/crypto-js.min.js" integrity="sha256-6rXZCnFzbyZ685/fMsqoxxZz/QZwMnmwHg+SsNe+C/w=" crossorigin="anonymous"></script>
<div class="container-fluid text-center" id="output"><div>
De esta forma el resultado obtenido es el mismo que en PHP cuando no se usa rawurldecode
sobre la cadena a le que le aplicamos el hash
. Es decir cuando tanto en PHP como en Javascript las cadenas están codificadas.
Espero que esto te ayude a resolver el problema y aclare tus dudas.