不能用 os.readfile 计算大文件哈希，因其会一次性加载全部内容到内存导致 oom；应使用 io.copy 流式读取并严格检查返回值、处理空文件、用 bytes.equal 比较哈希、每个文件新建 hash 实例。
为什么不能用 os.ReadFile 计算大文件哈希
它会把整个文件一次性加载进内存，2GB 的 ISO 文件就可能触发 OOM 或卡死。而 io.Copy 是流式分块读取，默认缓冲区 32KB，内存占用恒定。错误写法：data, _ := os.ReadFile("big.zip"); h.Write(data)；正确路径：file, _ := os.Open("big.zip"); io.Copy(h, file)。
io.Copy 必须检查返回值，否则 I/O 错误会被静默吞掉
磁盘突然断开、权限变化或网络挂载失效时，io.Copy 可能返回非 nil 错误，但若不显式判断，程序会继续用不完整数据算出错误哈希。
Golang Spf13 Viper
下载
Go 配置库，使用 spf13/viper — 分层优先级（flag > env >file > KV > default），提供 BindPFlag/BindPFlags、SetEnvPrefix + SetEnvKeyReplace 等功能。
- 必须检查：
n, err := io.Copy(h, f)，然后if err != nil返回带路径的错误，如fmt.Errorf("read %s: %w", path, err) - 还要防空文件：
if n == 0单独报错，避免业务逻辑误判空文件为“校验通过” - 别只依赖
err == nil就认为成功——得同时确认n > 0
比对哈希值时，别用字符串 ==，优先用 bytes.Equal
十六进制字符串可能被篡改（比如插入空格、换行）、大小写混用，或来自不可信来源（如 HTTP 响应头）。直接比字符串既不安全也不健壮。
- 服务端给的 hex 字符串（如
"a1b2c3..."）先用hex.DecodeString解码成[]byte，注意检查解码错误 - 本地计算结果是
h.Sum(nil)返回的字节切片，直接和解码后的字节比：bytes.Equal(localSum, remoteSum) - 如果非要字符串比对（如日志打印），统一小写 +
strings.TrimSpace，但生产环境不推荐
批量校验多个文件时，每个文件都该新建 hash.Hash 实例
hash.Hash 实例不是线程安全的，且 Sum(nil) 不重置内部状态。复用同一个 md5.New() 实例算两个文件，第二个结果其实是两个文件内容拼起来的哈希。
- 循环中每次都要调用
sha256.New()，不要提出来做全局变量或复用 - 真要复用（比如极端性能场景），必须显式调用
h.Reset()，但不如每轮新建来得清晰可靠 - 并发校验时，每个 goroutine 必须独占一个 hasher，别共享
golang免费学习笔记（深入）：立即使用
在学习笔记中，你将探索golang的核心概念和高级技巧！
