我在问自己，在 asp.net 页面的代码隐藏中使用包含 HMACSHA1 实例的静态（共享）变量是否会很危险。问题是在处理同一个 asp.net 页面上的多个同时请求时，所有 asp.net worker-process 线程将使用相同的 HMACSHA1-instance。 所有由 ComputeHash() 使用/修改的 (HMACSHA1) 实例和 ComputeHash() 方法变量将由所有线程共享（= 可以修改）？！这个假设正确吗？ 结果 ComputeHash 的返回值不能保证是正确的？！？！ 因此我不允许在所有 asp.net-threads 上使用静态/共享 HMACSHA1-instance..
我只是想知道您对这个问题的看法。
对此的唯一解决方案是 ComputeHash() 方法中的关键路径等。但那是“我们无法企及的”..
问候， 克里斯
【问题讨论】：
散列算法是确定性的，它们必须每次为给定的输入返回相同的散列。
只要您每次都使用相同的密钥，就无需将它们设为静态。但是，如果您使用无参数构造函数构造 HMACSHA1 实例，那么它会生成一个随机密钥。您应该从 KeyValue 属性中获取随机值并将其与哈希一起存储。
使用静态实例绝对是危险的。如果 Thread1 设置了要计算的值，然后 Thread2 在 Thread1 调用 ComputerHash() 之前设置了该值，那么 Thread1 将获取 Thread2 值的哈希值。如果任一线程正在设置密钥，也会发生同样的情况。
【讨论】：
当我在四核 HT cpu 上运行 8 或 16 个并行任务时，我刚刚从 SHA256Cng.ComputeHash 中得到一个未知的加密异常，这些任务除其他外执行哈希计算。
在 ComputeHash 周围添加锁定语义解决了这个问题 - 所以看起来至少 SHA256Cng 版本不是线程安全的。
【讨论】：
如果您想要线程安全而不需要锁定，您可以使用 ThreadStatic 属性在每个线程上创建一个唯一的实例，如下所示：
[ThreadStatic]
private static HMACSHA1 _hmacSha1;
public static HMACSHA1 HmacSha1
{
get
{
if (_hmacSha1 == null)
{
// this will happen once on each thread
_hmacSha1 = new HMACSHA1(GetKeyBytes());
}
return _hmacSha1;
}
}
现在，两个旁注：
访问线程静态字段比访问普通静态字段花费的时间要长得多。因此，线程静态版本可能对您更好，也可能不会更好。
如果您对每个页面请求执行一次此操作，那么差异将非常小，以至于您选择哪种方法都无关紧要。如果您在一个非常紧凑的循环中执行此操作，或者您的锁定部分中的代码花费了很长时间，那么选择可能很重要。
【讨论】：
值得知道KeyedHashAlgorithm.ComputeHash() 不是线程安全的，因为它为相同的KeyedHashAlgorithm.Key 提供了不确定的结果。
在我的例子中，我想缓存 KeyedHashAlgorithm，因为我的 KeyedHashAlgorithm.Key 总是相同的，以从客户端验证 真实性。我意识到ComputeHash() 不一致，可能它会将内部变量缓存到KeyedHashAlgorithm 实例中。我应该缓存每个线程ThreadStatic 或ThreadLocal 的实例。这是测试：
静态KeyedHashAlgorithm 给出不一致的结果：
var kha = KeyedHashAlgorithm.Create("HMACSHA256");
kha.Key = Encoding.UTF8.GetBytes("key");
Action comp = () =>
{
var computed = kha.ComputeHash(Encoding.UTF8.GetBytes("message"));
Console.WriteLine(Convert.ToBase64String(computed));
};
Parallel.Invoke(comp, comp, comp, comp, comp, comp, comp, comp);
与每个线程的KeyedHashAlgorithm 相比：
ThreadLocal<KeyedHashAlgorithm> tl= new ThreadLocal<KeyedHashAlgorithm>(() =>
{
var kha = KeyedHashAlgorithm.Create("HMACSHA256");
kha.Key = Encoding.UTF8.GetBytes("key");
return kha;
});
Action comp = () =>
{
var computed = tl.Value.ComputeHash(Encoding.UTF8.GetBytes("message"));
Console.WriteLine(Convert.ToBase64String(computed));
};
Parallel.Invoke(comp, comp, comp, comp, comp, comp, comp, comp);
此代码可用于测试其他函数的“线程安全”结果。希望这对其他人有帮助。
【讨论】：