必须校验sha值，因为文件大小或解压无误无法保证完整性与安全性；只有比对官方发布的sha256（推荐）或sha1散列值，才能确认安装包未被篡改或中间替换，其单向哈希特性确保微小改动即导致完全不同的指纹，从而有效防范伪造和污染。
下载应用安装包后，光看文件大小或解压不报错，并不能说明它安全可用。真正能确认它没被篡改、没被中间替换的，是比对官方发布的 SHA 散列值——这相当于给文件验“指纹”。
为什么必须校验 SHA 值？
SHA（如 SHA256 或 SHA1）是一种单向哈希算法，哪怕安装包里只改了一个字节，算出来的散列值也会完全不同。攻击者很难伪造出和官方完全一致的哈希值。所以：
- SHA256 是当前推荐标准，抗碰撞能力强，适合验证系统工具（如 WSA、BusyBox）、服务端软件（如 Apache）等高敏感安装包
- SHA1 虽已不适用于证书签名等强安全场景，但在 Android 应用签名、内部白名单配置中仍广泛使用，尤其老系统或 SDK 要求明确指定 SHA1
- 仅靠文件名或大小判断完整性，等于没验；跳过校验，等于把信任交给网络传输链路上的每一个环节
怎么拿到正确的 SHA 值？
别从第三方论坛或截图里抄——必须从官方可信渠道获取：
- 项目官网发布页（如 Apache 官网的
httpd-2.4.xx.tar.gz.sha256文件） - GitHub Release 页面的
.sha256或.checksum附件 - iOS 开发者需登录 Apple Developer 网站，在证书详情页复制“公钥”及“SHA1 指纹”，注意完整复制（常因页面截断漏掉末尾字符）
- WSABuilds 等工具通常在 GitHub 发布说明末尾直接贴出 SHA256 值，或提供独立的
sha256-checksum.txt
怎么计算并比对？
不同系统操作略有差异，但核心就两步：算你本地文件的 SHA 值 + 逐字符比对。
-
Windows（无需额外安装）：打开 PowerShell，进入安装包所在目录，运行：
(Get-FileHash -Path "your-app.apk" -Algorithm SHA256).Hash
或更兼容的：certutil -hashfile "your-app.apk" SHA256 -
macOS / Linux：终端中执行：
shasum -a 256 your-app.ipa（iOS）sha256sum your-app.apk（Android）openssl sha1 your-app.ipa（若需 SHA1） - 比对时务必检查全部字符是否完全一致，包括大小写和空格；建议复制粘贴比对，避免肉眼误判
校验失败怎么办？
只要哈希值不匹配，就说明文件不可信，不要继续安装：
- 最常见原因是下载中断导致文件残缺——重新下载，再校验
- 也可能是镜像站同步延迟或被污染——换回官网直链下载
- 若多次重下仍不匹配，检查是否下错了版本（比如 nightly 版 vs stable 版），或核对文件名是否含隐藏字符
- 切勿手动修改文件或跳过验证——这会让恶意代码绕过第一道防线
