SHA-256 文件校验：检查下载文件的原始字节

取得预期摘要

从可信发布渠道取得校验值，与受攻击下载位置一起被替换的摘要也不可信。

核对算法和产物名称，源码压缩包的摘要不能用来验证另外编译出的二进制版本。

对下载文件本身求摘要

文件哈希应处理原始字节，包括压缩包容器；只有发布值针对解压文件时才先解压。

命令行 SHA-256 工具对相同字节产生相同摘要，文件显示名称不影响结果。

Linux:  sha256sum archive.zip
macOS:  shasum -a 256 archive.zip

定位摘要不一致

不一致可能来自下载截断、版本不同、换行转换或恶意修改，摘要本身不负责判断原因。

先核对大小和发布名称，再重新获取预期产物；能打开压缩包不代表可以忽略差异。

注意浏览器工具限制

本站在文件大小限制内进行本地处理，大型镜像需使用原生或流式文件哈希工具。

匹配摘要证明相对于预期值的完整性，发布者身份还可能需要可信渠道或经过验证的数字签名。