文件传来传去怕损坏？学会用 SHA-256 校验文件完整性

你可能遇到过这样的情况：下载一个很大的压缩包，等待半天终于完成，却在解压时提示文件损坏。除了重新下载，你还可以先检查文件的校验值，判断手中的文件是否与预期版本一致。

这项技术叫作文件哈希校验，适合普通用户、学生以及经常传输文件的人使用。

一、什么是文件的“数字指纹”？

文件哈希可以理解为根据文件内容计算出来的一串固定长度字符。即使文件很大，使用 SHA-256 算法计算出的摘要也始终是 256 位，也就是通常显示为 64 个十六进制字符。

例如，一个文件可能得到这样的校验值：

e3b0c44298fc1c149afbf4c8996fb924
27ae41e4649b934ca495991b7852b855

这只是一个示意值，并不代表你电脑上某个文件的实际校验结果。

SHA-256 对文件内容的变化非常敏感。哪怕只修改文件中的一个字节，生成的摘要通常也会完全不同。

不过，需要区分两个概念：

• 校验值相同： 在实际使用中，可以高度确信两个文件内容相同。
• 校验值不同： 说明文件内容不同，或者计算、记录校验值的过程出现了问题。

重要提醒：校验值本身不能证明文件来自可信网站。如果恶意文件和它的校验值一起被替换，单纯比较两者也无法发现问题。因此，校验值应当来自可信的独立来源。

二、Windows、macOS 和 Linux 怎么计算校验值？

不同系统自带的工具不完全相同，但操作思路一致：打开终端，输入命令，读取输出的 SHA-256 值。

Windows：使用 certutil

在开始菜单搜索“命令提示符”或打开 PowerShell，输入：

certutil -hashfile "C:\Users\YourName\Downloads\sample.zip" SHA256

将路径替换为实际文件位置。命令会输出文件的 SHA-256 摘要。

macOS：使用 shasum

打开“终端”，输入：

shasum -a 256 ~/Downloads/sample.zip

Linux：使用 sha256sum

打开终端，输入：

sha256sum ~/Downloads/sample.zip

以上命令分别使用 Windows 的 certutil、macOS 常见的 shasum 和 GNU Coreutils 提供的 sha256sum。

如果文件名中包含空格，建议像示例那样用引号包住 Windows 路径；在 macOS 或 Linux 中，也可以将文件路径放在双引号内，避免空格被当成参数分隔符。

三、动手练习：检查下载的文件

假设你从软件官方网站下载了一个名为 sample.zip 的压缩包，网站同时公布了它的 SHA-256 校验值。

第一步，先从可信的官方网站获取预期校验值。第二步，使用上面的命令计算本地文件的摘要。第三步，逐字符比较两串值。

• 完全一致： 可以认为文件与官方提供的摘要相符。
• 存在差异： 先检查是否复制错误、下载不完整，或文件是否被更新；确认后重新下载并再次校验。

如果需要比较两份文件是否一致，也可以分别计算它们的 SHA-256 值，再检查结果是否相同。

要注意，文件哈希主要用于检查内容是否一致。它不能单独证明文件安全，也不能取代数字签名验证。如果软件发布者提供了经过可信渠道验证的数字签名，应该按照其官方说明进一步验证。

四、什么时候值得使用文件校验？

以下场景尤其适合使用 SHA-256：

• 下载操作系统镜像或大型软件安装包后，检查文件是否与发布者提供的摘要一致。
• 将重要压缩包复制到移动硬盘后，比较复制前后的校验值。
• 通过网络传输工作资料时，确认发送方与接收方拿到的文件一致。
• 保存长期归档文件时，为文件记录校验值，以便将来检查是否发生变化。

日常的小文件不必每次都校验。对于重要、体积较大或来源需要核实的文件，这项操作则很有价值。

总结： 学会计算 SHA-256 校验值，就相当于多了一种检查文件完整性的简单方法。记住一个原则：计算本地摘要只是第一步，必须与可信来源提供的预期值比较，才能真正发挥校验作用。