应使用 os.open 配合 io.copy 与 crypto/md5.new() 流式计算大文件 md5，避免内存溢出；务必检查 io.copy 错误、正确调用 hash.sum(nil) 获取结果，并注意 md5 仅适用于非安全场景的完整性校验。
用 crypto/md5 读文件流式计算 MD5，别全加载进内存
大文件（比如几百 MB）直接 os.ReadFile 会爆内存，crypto/md5 本身不处理文件，只做哈希运算，必须自己配 io.Copy 或分块读。核心是用 hash.Hash 接口把文件内容“喂”给 MD5 算子。
- 永远用
os.Open+defer f.Close()，别用os.ReadFile - 优先走
io.Copy(hash, file)，简洁且底层自动分块（默认 32KB） - 如果要控制缓冲区大小或加进度逻辑，才手动
file.Read(buf)+hash.Write(buf[:n]) - 算完必须调
hash.Sum(nil)拿结果，不是hash.Sum([]byte{})—— 后者可能额外分配
md5.Sum([]byte) 和 hash.Sum(nil) 别混用
这是最常翻车的地方：md5.Sum 是对一段内存算 MD5，返回 [16]byte；而流式计算用的是 hash.Hash 接口，最后得调它的 Sum 方法。两者类型、语义、使用场景完全不同。
-
md5.Sum([]byte("hello"))→ 直接得 MD5 值，适合小字符串或已加载的字节切片 -
h := md5.New(); h.Write(data); h.Sum(nil)→ 流式累积写入，适合文件、网络响应体等 - 误把
h.Sum(nil)结果传给fmt.Printf("%x", ...)会多出 16 字节“补零”，正确是fmt.Printf("%x", h.Sum(nil)[:])或直接h.Sum(nil)返回值本身就是完整 16 字节
校验时注意文件打开模式和 EOF 处理
用 os.Open 打开文件后，如果中间出错（比如权限不足、路径不存在），io.Copy 会提前返回错误，但很多人忘了检查，导致算出的 MD5 是部分数据的——看着没报错，结果却错。
- 务必检查
io.Copy的第二个返回值error，不是只看err == nil就完事 - 别用
os.O_RDONLY | os.O_SYNC这类多余 flag，os.Open默认就是只读安全模式 - Windows 下路径含中文或空格一般没问题，但若用
exec.Command调外部工具比对，需额外处理 shell 转义 - 计算前建议先
os.Stat确认文件存在且是普通文件，避免对目录或符号链接误算
MD5 不等于校验“安全”，只是完整性核对
Go 的 crypto/md5 实现没问题，但 MD5 碰撞已被实证攻破，它只适合防意外损坏（如传输丢包、磁盘坏道），不能防恶意篡改。
- 内网分发内部构建产物，用 MD5 快又够用
- 对外提供下载链接、签名验证、密码存储等场景，必须换
crypto/sha256或更高强度算法 - Go 标准库里
crypto/sha256的用法和md5几乎一致，替换md5.New()为sha256.New()即可，输出长度不同（32 字节），格式化时用%x一样适用
真正容易被忽略的是：哪怕你用了 SHA256，如果校验值本身是从同一个不可信渠道下载的（比如和文件放一个 HTTP 目录下），攻击者照样能一起替换——校验值的传输通道，比哈希算法本身更关键。
golang免费学习笔记（深入）：立即使用
在学习笔记中，你将探索golang的核心概念和高级技巧！
