2. Busybox 源码获取：从官网下载、Git 克隆与完整性验证
好，咱们正式开始动手。这一章要解决一个最基础的问题——源码从哪来，怎么拿，拿到的是不是对的。别小看这一步，我在项目里见过好几次因为源码版本不对或者下载被篡改，导致编译出来一堆诡异问题，查了两天才发现源头就错了。
Busybox 的源码获取，说白了就三条路：官网下载压缩包、Git 克隆仓库、以及验证你拿到的文件没被人动过手脚。下面我一条一条说清楚。
2.1 从官网下载源码包
我个人习惯先走官网。Busybox 的官方主页是 https://busybox.net，进去之后点 "Download" 就能看到所有发布版本。
你可能会问：这么多版本，我该选哪个？嗯，这里有个经验之谈——不要追新，也不要太老。我一般选最新的稳定版，比如写这篇文章时是 1.36.1。太新的开发版可能有未修复的 bug，太老的版本又可能缺一些新内核的特性支持。
下载命令很简单，以 1.36.1 为例：
wget https://busybox.net/downloads/busybox-1.36.1.tar.bz2或者用 curl：
curl -O https://busybox.net/downloads/busybox-1.36.1.tar.bz2下载完之后，解压：
tar -xjf busybox-1.36.1.tar.bz2
cd busybox-1.36.1busybox.net/downloads 页面上的 sha256 或 sha1 校验和。后面验证完整性时会用到。
2.2 使用 Git 克隆源码仓库
如果你需要跟踪最新的开发进度，或者想自己打补丁做定制，那 Git 克隆是更好的选择。Busybox 的官方 Git 仓库托管在 git.busybox.net 上。
克隆命令：
git clone git://git.busybox.net/busybox或者用 HTTPS 方式（有些防火墙会封 Git 协议端口）：
git clone https://git.busybox.net/busybox克隆完成后，你会得到一个完整的 Git 仓库，里面包含了所有历史版本和分支。我个人更推荐这种方式，因为你可以随时切到任意一个 tag 或分支：
cd busybox
git tag -l '1_*' # 列出所有 1.x 版本的 tag
git checkout 1_36_1 # 切到 1.36.1 版本我曾经在一个项目里需要同时维护两个不同版本的 Busybox，一个给老产品用 1.27.x，一个给新产品用 1.36.x。用 Git 分支管理起来非常方便，比下载两个压缩包清爽多了。
2.3 验证源码完整性
这一步很多人会跳过，但我劝你别省。为什么？因为源码被篡改后，编译出来的二进制可能带后门。我在一次安全审计中遇到过有人替换了 Busybox 的 wget 源码，编译后会在后台偷偷上传文件——想想都后怕。
验证完整性通常有两种方式：校验和验证 和 GPG 签名验证。
2.3.1 校验和验证
官网每个压缩包旁边都会提供 .sha256 或 .sha1 文件。下载后执行：
sha256sum busybox-1.36.1.tar.bz2然后把输出的哈希值和官网上的对比。如果一致，说明文件在传输过程中没被损坏。但注意——这只防传输错误，不防恶意篡改。如果官网本身被黑了，那校验和文件也可能被改掉。
2.3.2 GPG 签名验证（推荐）
更可靠的方式是用 GPG 签名。Busybox 的发布版会附带 .tar.bz2.sig 签名文件。你需要先导入维护者的公钥：
gpg --keyserver keyserver.ubuntu.com --recv-keys 0x86B3792D然后验证：
gpg --verify busybox-1.36.1.tar.bz2.sig busybox-1.36.1.tar.bz2如果输出类似 Good signature from "Denis Vlasenko <vda.linux@googlemail.com>"，那就说明这个包确实是官方发布的，没被篡改过。
WARNING: This key is not certified with a trusted signature! 是正常的，因为你的本地没有建立信任链。只要签名匹配，就说明文件没被改过。
2.4 三种获取方式对比
我把三种方式的特点整理成了一张表，方便你根据场景选择：
| 方式 | 适用场景 | 优点 | 缺点 |
|---|---|---|---|
| 官网下载压缩包 | 生产环境、快速部署 | 稳定、有 GPG 签名、体积小 | 无法跟踪历史、更新需重新下载 |
| Git 克隆仓库 | 开发调试、定制修改 | 可切换版本、可打补丁、可回退 | 仓库体积大、master 分支不稳定 |
| 包管理器安装 | 快速尝鲜、非嵌入式环境 | 一条命令搞定 | 版本老旧、无法定制、无源码 |
我个人在正式项目里只用前两种。包管理器安装的 Busybox 通常是发行版维护者编译好的，你拿不到源码，也就没法做裁剪和配置——这跟咱们课程的目标背道而驰。
2.5 本章知识结构图
下面这张图把源码获取的完整流程和验证路径串起来了，你可以对照着理解：
2.6 避坑指南
最后分享几个我踩过的坑：
- 不要用 root 用户下载和编译——我曾经图省事用 root 操作，结果编译出来的文件权限全乱套，部署到目标板上一堆 "Permission denied"。
- Git 克隆时注意网络环境——有些公司内网封了 Git 协议的 9418 端口，这时候用 HTTPS 替代就行。
- 校验和一定要手动核对——别只看文件名字一样就以为没问题。我见过有人下载了
busybox-1.36.1.tar.bz2但实际是旧版本，因为服务器缓存没刷新。 - GPG 公钥指纹要确认——导入公钥后，最好用
gpg --fingerprint看一眼指纹，跟官网公布的对比一下，防止中间人攻击。
好了，源码拿到手，也验证过了。下一件事就是看看这个源码包里到底有什么，怎么配置才能编译出适合你目标板的 Busybox。不过那是后面章节的内容了，咱们先把基础打牢。