.NET 6+ 中必须用 MD5.Create() 初始化，返回标准实现并自动适配运行时；字符串转 MD5 必须用 UTF-8 编码；输出应为小写 32 位十六进制；大文件校验须用 Stream 避免内存溢出；MD5 仅适用于低风险场景，不可用于密码或安全签名。
MD5.Create() 是唯一推荐的初始化方式
在 .NET 6+ 中，MD5CryptoServiceProvider 已被标记为 obsolete，编译时会报警告，运行时虽仍可用，但不保证未来版本兼容。必须用 MD5.Create() —— 它返回标准实现，自动适配当前运行时（如 Windows 上用 BCrypt，Linux/macOS 上用 OpenSSL），且配合 using 可正确释放非托管资源。
常见错误：直接 new MD5CryptoServiceProvider() 或在 .NET 6+ 项目里忽略警告继续用旧写法。这会导致代码可维护性下降，CI/CD 流水线可能因警告失败。
- ✅ 正确：
using (MD5 md5 = MD5.Create()) { ... } - ❌ 避免：
var md5 = new MD5CryptoServiceProvider();（尤其新项目） - ⚠️ 注意：
MD5.Create()返回的是接口MD5，不是具体类型，不能做is MD5CryptoServiceProvider类型判断
字符串转 MD5 必须指定编码，UTF8 是事实标准
MD5 计算的是字节流哈希，不是字符串哈希。不同编码（如 Encoding.Default、Encoding.Unicode）对同一字符串生成的字节数组完全不同，结果必然不同。中文、emoji、控制字符尤其敏感。
实际场景中，绝大多数协议（HTTP header、API 签名、文件内容摘要）都约定 UTF-8 编码。用 Encoding.Default 会随系统区域设置变化，在服务器上极易出错。
- ✅ 推荐：
Encoding.UTF8.GetBytes(input) - ❌ 危险：
Encoding.Default.GetBytes(input)（本地测试可能对，部署后变错） - ? 补充：若需兼容老系统明文（如 GB2312 存储的旧数据库），必须显式指定
Encoding.GetEncoding("GB2312")，不能靠猜测
输出格式：小写 32 位十六进制是通用约定
MD5 哈希值是 16 字节（128 bit）二进制数据，常规表示为 32 个十六进制字符。大小写和分隔符会影响校验一致性 —— 比如某些 API 要求小写无横线，而旧工具可能输出大写带 -。
BitConverter.ToString(hashBytes) 默认输出大写 + 短横线（如 "A1-B2-C3-..."），必须处理；用循环拼接或 ToString("x2") 更可控。
- ✅ 推荐写法：
hashBytes.Aggregate(new StringBuilder(), (sb, b) => sb.Append(b.ToString("x2"))).ToString() - ✅ 简洁替代：
BitConverter.ToString(hashBytes).Replace("-", "").ToLower() - ❌ 不推荐：
BitConverter.ToString(hashBytes)（直接用，含横线且大写） - ⚠️ 注意：16 位 MD5（取中间 8 字节）是历史遗留黑魔法，无标准依据，仅用于绕过某些老旧字段长度限制，不应主动采用
文件 MD5 校验必须用 Stream，别加载全量到内存
对大文件（>100MB）调用 File.ReadAllBytes() 再传给 ComputeHash()，会瞬间吃光内存并触发 GC 压力，甚至 OutOfMemoryException。正确做法是打开 FileStream，让 ComputeHash(Stream) 内部流式读取。
同时注意：文件路径必须存在且有读权限；FileStream 必须与 MD5 实例同在 using 块中，避免句柄泄漏。
- ✅ 正确：
using (FileStream fs = File.OpenRead(filePath)) { md5.ComputeHash(fs); } - ❌ 错误：
byte[] data = File.ReadAllBytes(filePath); md5.ComputeHash(data); - ? 提示：若需同时计算多个哈希（如 SHA256 + MD5），可用
CryptoStream链式处理，避免多次磁盘读取
MD5 的本质是确定性摘要，不是加密，更不可逆。它的脆弱性已被实证（碰撞攻击可在秒级完成），所以任何涉及身份认证、密码存储、签名防篡改的场景，都该直接跳过 MD5，改用 Rfc2898DeriveBytes（PBKDF2）或 KeyDerivation.Pbkdf2（.NET Core+）。只在内部校验、缓存 key、兼容旧协议等明确低风险场景才考虑它。
