源码包哈希值校验是防止下载篡改的关键步骤，必须严格比对官方sha256值；需下载源码包、sha256sums及gpg签名文件，用官方公钥验证清单真实性，再本地计算并逐字节匹配哈希值，不一致则重下，不可跳过或手动修改。
源码包哈希值校验是防止下载过程中被篡改或镜像被污染的关键步骤，不能跳过。官方发布的每个 Nginx 源码包都配套提供 SHA256（推荐）或 MD5 校验文件，必须比对一致才可进入解压编译流程。
下载 SHA256SUMS 文件并验证签名
仅下载源码包不够，还要同步获取其完整性清单和签名文件：
- 从 https://nginx.org/download/ 下载对应版本的
nginx-X.Y.Z.tar.gz和同名的nginx-X.Y.Z.tar.gz.sha256（或SHA256SUMS） - 若提供 GPG 签名（如
SHA256SUMS.asc），需用 Nginx 官方公钥验证该清单文件真实有效：gpg --verify SHA256SUMS.asc SHA256SUMS - 确保公钥已导入：可从 nginx.org/keys 获取并执行
gpg --import nginx_signing.key
本地计算哈希并严格比对
校验不是“看看差不多”，而是逐字节匹配：
- 用
sha256sum nginx-1.19.6.tar.gz计算本地文件哈希值 - 从
SHA256SUMS中提取对应行（可用grep nginx-1.19.6.tar.gz SHA256SUMS） - 两串哈希值必须完全一致，包括大小写和空格；任何差异都说明文件已被修改或下载不完整
- 脚本中建议用
sha256sum -c SHA256SUMS 2>/dev/null | grep OK自动判断是否通过
校验失败时的处理原则
不强行继续，避免引入风险：
- 网络中断、代理缓存或镜像同步延迟都可能导致哈希不匹配，应重新下载整套文件
- 不要手动修改
SHA256SUMS或跳过校验——这等于放弃安全防线 - 若多次重试仍失败，检查是否误用了非官方镜像站；优先使用
nginx.org原始 URL - 企业环境中可预先将可信哈希值写入配置管理工具（如 Ansible vars），由运维统一管控
哈希校验本身不耗时，但能拦住绝大多数供应链攻击。它和后续的 patch 打补丁、最小权限运行、systemd 服务隔离共同构成源码安装的安全基线。
