如何用校验和确认下载的文件是正版
指南 · 更新于 2026年10月12日 · 作者：Tiago Santos
软件、操作系统和固件的下载页面，常在文件旁列出一长串代码，标注为 SHA-256 或“checksum”。它能证明你下载的文件与发布者发布的完全相同：没有在传输中损坏，也没有被换成篡改过的副本。
什么是校验和
校验和（也叫哈希）是根据文件的每一个字节算出来的指纹。只要改动一个字节，指纹就会完全改变。如果你下载文件的指纹与发布者公布的一致，两个文件就完全相同。
如今的标准是 SHA-256。在较旧的网站上你可能还会看到 MD5 或 SHA-1；它们足以发现损坏的下载，但已无法防范蓄意篡改。
在浏览器里核对
- 打开文件校验和，粘贴下载页面上的校验和。
- 选择下载的文件。即使有好几 GB，也是在你的设备上计算。
- 你会看到“一致”或“不一致”。如果不一致，删除该文件，从官方网站重新下载。
在 Windows 上
打开 PowerShell，运行 Get-FileHash 路径\到\文件。它会输出 SHA-256 哈希值。在命令提示符中，certutil -hashfile 路径\到\文件 SHA256 的作用相同。
在 Mac 和 Linux 上
打开终端，在 Mac 上运行 shasum -a 256 路径/到/文件，在 Linux 上运行 sha256sum 路径/到/文件。
计算文本而非文件的哈希
开发者有时需要一段文本的哈希，比如用来比对 API 签名。哈希生成器会在你输入时显示 MD5、SHA-1 以及 SHA-256 到 SHA-512，还支持带密钥的 HMAC。
一点提醒
校验和只能证明文件与页面所列一致。如果网站本身被攻破，两者都可能被替换。对于关键软件，发布者还会对版本进行签名；而校验和仍是日常下载快速实用的检查方法。