哈希算法原理：MD5、SHA-1、SHA-256 的区别与选择

聊组件签名，绕不开哈希算法。说白了，哈希就是给任意数据算出一串固定长度的「指纹」。这串指纹很短，但能唯一代表原始数据。你改一个字节，指纹就完全变了。

我刚开始接触签名时，总觉得哈希就是个校验和。后来踩了坑才明白——选错哈希算法，签名等于白做。今天咱们就把 MD5、SHA-1、SHA-256 这几个老面孔彻底聊透。

哈希算法的核心特性

先统一一下认知。一个合格的哈希算法，必须满足三个条件：

• 单向性：从哈希值反推原始数据，理论上不可能。你想想看，如果哈希可逆，那签名还有什么意义？
• 抗碰撞性：很难找到两个不同的输入，算出相同的哈希值。这个后面细说。
• 雪崩效应：输入改一丁点，输出天翻地覆。哪怕只改一个比特，哈希值也完全不同。

MD5：曾经的王者，现在的弃子

MD5 诞生于 1991 年，输出 128 位（16 字节）的哈希值。在很长一段时间里，它几乎是校验文件的标配。

但问题来了。2004 年，中国密码学家王小云团队找到了 MD5 的快速碰撞方法。什么意思？就是能在合理时间内，构造出两个不同的文件，但 MD5 值一模一样。

我记得当时圈内震动很大。我手头一个老项目还在用 MD5 做签名校验，得知这个消息后连夜改代码。嗯，从那以后我再也不敢在生产环境用 MD5 了。

SHA-1：正在退场的中间派

SHA-1 输出 160 位（20 字节），比 MD5 长一些。它曾经是数字签名的标配，Git 的 commit 哈希用的就是 SHA-1。

但历史重演了。2017 年，Google 和 CWI 研究所联合宣布了 SHAttered 攻击——他们成功构造了两个不同的 PDF 文件，SHA-1 值完全相同。

你可能会问：「Git 不还在用 SHA-1 吗？」没错，但 Git 的场景比较特殊——它不防恶意攻击，只防意外冲突。对于组件签名这种对抗性场景，SHA-1 已经不够看了。

SHA-256：当前的安全底线

SHA-256 属于 SHA-2 家族，输出 256 位（32 字节）。目前没有公开的可行攻击方法，是业界公认的安全基线。

我个人的习惯是：所有涉及签名的场景，默认选 SHA-256。不管是代码签名、文档签名还是容器镜像签名，SHA-256 都是最稳妥的选择。

当然，SHA-256 也有代价——计算比 MD5 慢一些。但在今天的硬件条件下，这点性能差异完全可以忽略。安全第一，性能第二。

三种算法的对比

特性	MD5	SHA-1	SHA-256
输出长度	128 位（16 字节）	160 位（20 字节）	256 位（32 字节）
安全状态	已破解	已破解	安全
碰撞攻击	2004 年已实现	2017 年已实现	无公开攻击
推荐场景	非安全校验	不推荐	签名、证书、安全校验
相对速度	最快	中等	较慢（可接受）

哈希碰撞：到底有多可怕？

哈希碰撞，就是两个不同的输入，算出了相同的哈希值。你想想看，如果攻击者能伪造一个恶意文件，哈希值和合法文件一模一样，那签名校验就形同虚设了。

我曾经在内部培训时做过一个演示：用 MD5 构造两个不同的可执行文件，一个正常，一个带后门，但 MD5 值完全相同。台下同事看完都沉默了。

碰撞分两种：

• 普通碰撞：攻击者可以自由选择两个输入，让它们的哈希值相同。MD5 和 SHA-1 都已被攻破。
• 第二原像攻击：给定一个输入，找到另一个输入，哈希值相同。这个更难，目前 SHA-256 还扛得住。

如何选择？我的决策框架

说了这么多，到底怎么选？我一般按这个逻辑判断：

1. 涉及安全？ → 用 SHA-256。别犹豫。
2. 只是去重或校验完整性？ → MD5 或 SHA-1 勉强能用，但我还是建议 SHA-256。
3. 兼容老旧系统？ → 尽量升级，实在不行用 SHA-1 过渡，但要有迁移计划。
4. 性能敏感？ → 先测一下 SHA-256 的性能，大概率够用。不够再考虑硬件加速方案。

知识体系总览

下面这张图梳理了本章的核心脉络，方便你快速回顾：

小结

哈希算法是组件签名的地基。地基不稳，上面盖什么都白搭。MD5 和 SHA-1 已经是过去式了，SHA-256 才是当前的安全底线。

记住一句话：签名场景下，哈希算法的选择不是性能问题，是安全问题。选对了，省心；选错了，迟早要还债。