sha256.sum256更适合固定长度校验，因其是值类型[32]byte，支持==比较、map key、json序列化；而sha256.new()返回指针类型，需调用sum(nil)获取结果，且sum()追加而非覆盖字节，易导致哈希错误。
Go 语言标准库 crypto 包提供的哈希实现是安全、稳定且开箱即用的，但直接调用 hash.Hash 接口容易漏掉关键步骤（比如忘记 Sum(nil) 或误用 Write() 返回值），导致结果不一致或 panic。
为什么 sha256.Sum256 比 sha256.New() 更适合固定长度校验？
sha256.Sum256 是一个值类型，底层是 [32]byte，直接支持 == 比较、作为 map key、写入 JSON（需自定义 MarshalJSON）；而 sha256.New() 返回指针类型 *sha256.digest，必须调用 Sum(nil) 才能得到完整哈希字节，且每次调用会追加数据 —— 容易在复用时出错。
常见错误现象：fmt.Printf("%x", h.Sum(nil)) 输出比预期长 32 字节（因为 Sum() 是追加而非覆盖）；正确做法是用 h.Sum(nil)[:h.Size()] 或直接用 sha256.Sum256 值类型：
h := sha256.Sum256{}
h.Write([]byte("hello"))
fmt.Printf("%x", h) // 直接输出 64 位 hex，无额外字节
- 场景：配置文件校验、API 签名摘要、文件指纹缓存键
- 性能影响：值类型拷贝成本固定（32 字节），远低于接口类型动态调度开销
- 注意：
Sum256不支持流式多次Write()后再取结果 —— 它本质是封装好的单次计算，如需复用哈希器，仍得用New()
md5 和 sha1 还能用吗？哪些地方必须避开？
标准库仍保留 crypto/md5 和 crypto/sha1，但它们已不再满足密码学安全要求：MD5 存在碰撞攻击实例，SHA1 已被 Google 的 SHAttered 攻击实证破解。Go 官方文档明确标注 “not suitable for cryptographic use”。
Go语言（Golang）1.26.0版本提供 Go 官方 Windows amd64 MSI 安装包下载入口，版本号 1.26.0，可用于旧项目维护、兼容性测试和指定版本开发环境配置。
使用场景限制非常明确：
- 仅限非安全上下文：如纯内部构建缓存（build cache）、临时调试日志去重
- 绝对禁止：签名验证、密码存储、JWT header hash、TLS 握手摘要
- CI/CD 流水线若用
md5校验下载包完整性，应立即切换为sha256或sha512 - 某些老协议（如部分 Git 传输协议）仍依赖 SHA1，此时需按协议要求使用，但不得用于新设计
如何正确处理中文、emoji 等 UTF-8 字符串的哈希一致性？
Go 字符串天然以 UTF-8 编码存储，[]byte(s) 直接得到其原始字节序列 —— 这正是哈希需要的输入。但常见陷阱在于误用 string([]rune(s)) 或 utf8.RuneCountInString() 干预编码，导致字节序列改变。
正确做法只有一条：哈希前不做任何字符层面转换，直接传原始字节：
s := "Hello 世界 ?"
h := sha256.Sum256{}
h.Write([]byte(s)) // ✅ 正确：UTF-8 字节流
// h.Write([]byte(string([]rune(s)))) // ❌ 错误：可能引入 BOM 或重排序
- 注意：Windows 记事本保存的文本可能含 BOM（\ufeff），读取后需手动剔除，否则哈希值不同
- HTTP 请求体、JSON 字段值、数据库 TEXT 字段，只要 Go 读取为
string类型，就可直接[]byte转换 - 如果上游来源是 GBK 编码（如旧版 Windows 日志），必须先用
golang.org/x/text/encoding转 UTF-8，再哈希
哈希本身很简单，麻烦的是边界：字节 vs 字符、安全强度选择、复用与清空、BOM 和编码污染 —— 这些点没卡准，算出来的哈希就不可靠。
golang免费学习笔记（深入）：立即使用
在学习笔记中，你将探索golang的核心概念和高级技巧！
