Hash 校验工具 - MD5/SHA256 文件校验

1. 校验一个文件

1. 把文件拖入上传区（或点击选择），工具本地流式读取并计算哈希——大文件也不上传。
2. 在算法框选择与发布方一致的算法（SHA-256 为主流，MD5 已不建议用于安全场景）。
3. 把官方公布的哈希粘到「期望值」框，工具自动逐位比对，一致/不一致即时给出结论。

2. 比对结果怎么解读

一致：文件与发布方手里的那份逐字节相同（在哈希未碰撞的前提下），可以放心使用。不一致只有两种可能：文件坏了（下载中断、磁盘错误）或文件被换了（中间人篡改）——无论哪种都不该使用，重新下载并再验。注意比对时大小写不敏感、首尾空格应去除，这些工具会自动处理。

3. 三个实用提醒

• 哈希值要「从另一条通道」获取：官网正文、GPG 签名页都行，唯独不要用同一个下载页弹窗里的值——那页若被攻破，哈希和文件会一起被换。
• 安全敏感的下载（系统镜像、钱包程序）优先看 GPG/代码签名而非裸哈希：哈希证明一致性，签名才能证明出处。
• 浏览器扩展、微信传过的文件都会变字节——「我发给自己的一份」也要重新校验。
• MD5/SHA-1 已可被构造碰撞：对抗场景下「匹配」不能当作防伪证明，请改选 SHA-256；一次只算你选定的一种算法，不会并行打出五份摘要。

4. 校验失败时的系统化排查

哈希校验对不上时，几乎总在以下四处之一：换行符差异（文件的 CRLF/LF 被编辑器或传输层改写——尤其从网页复制内容时）；首尾空白（多了空格、缺了空格、BOM 头）；大小写（十六进制输出的大小写不影响值，但对比脚本若做全字符串匹配就会误报）；算法不匹配（拿 SHA-256 的期望值去比 MD5 的输出）。本工具在对比时统一大小写与空白归一化，先排除最表层的三类，剩余不匹配才是真实的内容差异或损坏。

5. 在发布流程里放一道哈希门禁

• 制品发布三件套：文件 + 哈希文件 + 签名——用户侧一条 sha256sum -c 命令即可完成完整性验证。
• 供应链安全的最低线：下载后先验哈希再执行；对高敏感场景升级到 GPG 签名验证（验哈希只防传输损坏，签名才防篡改）。
• CI 里对构建产物自动生成 SHA-256 并写入发布说明，把「信不信这个包」变成可复核的事实。

6. 大文件与浏览器算哈希的边界

本页对选中的文件在本地流式读取后计算摘要，文件不会上传。一次只跑你选定的一种算法——不要指望它并行吐出 MD5+SHA 家族五份结果。浏览器标签在后台被节流时，超大 ISO 可能算得更慢，这是引擎调度问题而非「哈希坏了」。若官方同时公布多种算法，以发布说明写明的那一种为准；多种都公布时优先对照 SHA-256（或更长），MD5 仅作历史兼容。