不用md5.sum做字符串指纹因其返回结构体且md5易碰撞；生产环境应选sha256.sum（短字符串）或sha256.new()（长/拼接场景）；字符串比对前须清洗空白、统一utf-8编码、标准化换行，并用bytes.equal防时序攻击。
为什么不用 md5.Sum 做字符串指纹
因为 md5.Sum 返回的是结构体，直接打印会看到类似 {[123 45 67]} 的输出，不是十六进制字符串；更关键的是，MD5 已被证实可构造碰撞，两个不同字符串产出相同哈希的概率远高于实际容忍阈值。生产环境的字符串指纹必须用密码学安全哈希，sha256.Sum 或 sha256.New() 是底线。
sha256.Sum([]byte(s)) 和 sha256.New().Write().Sum(nil) 怎么选
两者都可行，但适用场景不同：
-
sha256.Sum([]byte(s))适合短字符串（如 key、tag、路径名），无内存分配、零 GC 压力，调用后直接用fmt.Sprintf("%x", sum)或hex.EncodeToString(sum[:])转字符串 -
sha256.New().Write().Sum(nil)适合长字符串或拼接场景（如动态构建的 JSON 字段串），支持多次Write，且结果是新分配的[]byte，避免生命周期干扰 - 别混用：对
sha256.Sum结果调.Write()会 panic，它不实现hash.Hash接口
字符串比对前必须清洗的三件事
哈希值不同，90% 不是算法问题，而是输入字节不一致：
- 用
strings.TrimSpace()清掉首尾空白和换行，尤其从配置文件或 HTTP body 读取时 - 统一编码：确保全是 UTF-8；若来源可能含 BOM，先用
bytes.TrimPrefix(b, []byte("\xef\xbb\xbf")) - 换行符标准化：Windows 的
\r\n和 Unix 的\n必须归一，否则哈希必不同 —— 可用strings.ReplaceAll(s, "\r\n", "\n")
比对时用 == 还是 bytes.Equal
取决于上下文：
- 纯内部比对（如缓存 key 匹配、本地文件内容判定）：直接用
==比较两个[32]byte数组，Go 中数组可比较且无时序风险 - 对外暴露的校验接口（如 API 请求头带哈希签名）：必须用
bytes.Equal(a[:], b[:])，防止时序侧信道攻击 - 别直接比 hex 字符串 —— 先用
hex.DecodeString解码成字节再比，否则大小写、空格、前缀（如sha256:）都会导致误判
golang免费学习笔记（深入）：立即使用
在学习笔记中，你将探索golang的核心概念和高级技巧！
