镜像网站下载的jdk必须主动验证，核心是确认文件与官网完全一致；优先选择企业内网镜像、清华tuna等知名开源镜像或官方认可站点，避开可疑链接；务必核对官网公布的sha256值，再检查数字签名，高安全场景建议结合pgp验证。

镜像网站下载的 JDK 不能直接信任，必须做主动验证。核心逻辑是：镜像只是分发渠道，不等于官方背书；安全的关键在于确认你拿到的文件和官网发布的完全一致。

核对镜像源是否可信

不是所有带“mirror”字样的站点都可靠。优先选择以下几类：

• 企业自建内网镜像（如 Nexus、Artifactory），且有同步日志和定期校验机制
• 知名开源社区维护的镜像，如清华 TUNA、中科大 USTC、阿里云 OpenJDK 镜像站
• OpenJDK 官方认可的镜像列表（见 https://jdk.java.net/ 或 jdk.java.net 的 footer 链接）

避开论坛链接、个人博客跳转页、“高速下载器”包装页，以及域名拼写可疑（如 javadown1oad.com）的站点。

必须验证 SHA256 校验和

这是最基础也最关键的一步。官网一定会在下载页或对应版本的公告中公布 SHA256 值。

JavaStoryDevelop

你接手一个需求时，是不是经常这样："改一个小字段 → 结果把不相关的代码也改了"、"需求说得很模糊 → 做着做着发现跑偏了"、"数据库加个字段 → 上线才发现漏了数据兼容"、"做了个新功能 → 一个月后自己都忘了当时怎么设计的"、"写到一半被中断 → 再回来不知道从哪继续"；这个 Skill 就是专门解决这些问题的。 它会自动探测你的项目环境（JDK、Spring Boot、ORM、数据库、前端框架），记在

下载

• Linux/macOS 下用命令计算：sha256sum jdk-XX_linux-x64_bin.tar.gz
• Windows 下可用 PowerShell：Get-FileHash -Algorithm SHA256 jdk-XX_windows-x64_bin.zip
• 将输出结果与官网公示值逐字符比对，一个字母都不能差

如果镜像站本身提供了校验和，仅作参考，仍须以官网为准——因为镜像站若被篡改，其提供的校验值也可能被同步替换。

检查数字签名（Windows/macOS 适用）

Oracle JDK 和部分 OpenJDK 构建版会附带代码签名，可验证发布者身份和文件完整性。

• Windows：右键安装包 → “属性” → “数字签名”选项卡 → 查看签名者是否为 “Oracle America, Inc.” 或 “Eclipse Foundation” 等可信主体
• macOS：在访达中右键 → “显示简介” → 查看“已验证开发者”信息；首次打开时留意系统是否提示“无法验证开发者”
• 签名无效、过期、或签名人与官网不符，应立即中止安装

额外建议：结合 PGP 验证（高安全场景）

适用于金融、政务等强合规要求环境：

• 从官网下载对应 JDK 版本的 .asc 签名文件和发布者公钥（如 Oracle 的 GPG key）
• 用 gpg --verify 命令验证压缩包是否由该密钥签署
• 企业可将此步骤集成进自动化部署脚本，失败则自动告警并终止流程

不复杂但容易忽略