MD5算法原理：数学基础与哈希函数特性
聊到MD5，很多人第一反应就是“用来算文件指纹”。但指纹是怎么算出来的？背后的数学活儿其实很朴素。我个人习惯先理解它干了什么，再去碰代码或工具，不然出bug了你都不知道问题出在哪。
数学基础：不是高数，是位运算
MD5底层依赖的数学工具，说白了就四样：位运算、模232加法、循环左移、填充规则。大学里那套微积分、线性代数，跟它没有任何关系。你想想看，哈希函数本质就是把任意长的数据压缩成固定长的摘要，这个过程只需要在二进制位上做简单操作就够了。
- 位运算：AND、OR、XOR、NOT。MD5的主循环里大量使用XOR和AND来做非线性组合。我记得刚开始学的时候，总把XOR当成“异或”，想成“相同为0，不同为1”，但实际在逻辑电路里，它就是个半加器。
- 模232加法：就是整数相加，结果只保留低32位。我做过一次项目，把一个32位MD5中间值当成64位去加，结果后面所有轮次全乱套了。这个坑踩过一次就不会忘。
- 循环左移：把二进制位向左移动，左端溢出的位补到右端。MD5每轮都制定好固定的位移量，比如第1轮位移量是7、12、17、22。为什么会这样？为了扩散输入的影响，这是哈希函数的核心要求。
- 填充规则：MD5要求原始消息长度对512取模等于448（位）。如果不够就在末尾补一个“1”再补“0”，最后附上64位的原始长度（单位是位）。填充后的消息长度就是512的整数倍。
我的小习惯：调试MD5算法时，最好先验证填充是否准确。我曾经写过一个Demo，输出一直不对，最后发现是填充时长度字段的字节序搞反了——MD5用的是小端序，而我写了大端序。
哈希函数特性：凭什么说MD5不可逆
哈希函数不是MD5独有的，SHA-1、SHA-256、SM3都属于同一家族。它们有五个公认的特性，我按实际开发中遇到的感受来排个序：
- 确定性：同一输入永远输出同一摘要。这个看起来简单，但文件传输后校验失败，90%的原因是文件本身被改了，而不是算法不稳定。
- 固定输出长度：不管输入是1字节还是1GB，MD5输出都是128位（16字节）。这也是为什么能用它做文件校验——摘要长度固定，容易比较。
- 雪崩效应：输入改变哪怕1个比特，输出的摘要会有一半左右的比特翻转。我记得有一次在代码里不小心把文件读成字符串，漏了二进制模式，导致换行符被转换，结果与本机正确MD5值完全不同。这就是雪崩效应在“报警”。
- 单向性（抗原像）：给定y = H(x)，想反推出x几乎不可能。MD5虽然被破解，但指的是碰撞攻击，不是原像攻击。日常做文件校验，单向性仍然安全。
- 碰撞抵抗：找到两个不同的输入产生相同摘要，计算上不可行。但2004年王小云团队已经证明了MD5的碰撞可以在普通电脑上几分钟生成。所以现在做安全签名时不能用MD5，但文件一致性校验（不涉及恶意对抗）仍然能用。
避坑指南：我曾经给一个内部系统做文件分发，用MD5校验完整性。结果被安全审计指出MD5已非抗碰撞，要求升级到SHA-256。如果你做的系统涉及安全对抗（比如防篡改），千万别用MD5。但如果只是检查下载是否完整，MD5完全够用，而且计算速度比SHA-256快不少。
MD5算法核心流程（一句话说清）
整个MD5算法可以归纳为“四轮、64步、四个常量、一个缓冲区”。以下是它的逻辑结构，画成图会更好理解：
看到这张图你应该就明白了：MD5本质上是反复对512位数据块做同样的变换，最后输出四个32位字拼接成128位摘要。中间每一步都在做位运算和模加法，但产生的结果非常“随机”——只要输入变化一个比特，整个摘要面目全非。这就是哈希函数的精髓。
表格对比：MD5 vs 其他哈希函数
为了让你更清楚MD5在哈希家族里的位置，我整理了一个小表。实战选型时照着这个看就行：
| 属性 | MD5 | SHA-1 | SHA-256 | SM3 |
|---|---|---|---|---|
| 输出长度 | 128位 | 160位 | 256位 | 256位 |
| 碰撞安全 | 弱（已被实际攻破） | 弱（理论攻破） | 强 | 强 |
| 软件速度 | 很快 | 较快 | 较慢 | 中等 |
| 适用场景 | 非安全场景的文件校验 | 渐渐淘汰 | 安全校验、签名 | 国密标准 |
重点重申：文件一致性校验（比如下载后比对md5sum）只依赖确定性、雪崩效应和固定输出长度。MD5在这三个特性上至今没有问题。碰撞攻击需要你主动构造两个不同文件，而文件校验是检查文件是否被偶然篡改——不是对抗场景。所以不要一听到“MD5不安全”就盲目抛弃它，要看你的使用上下文。