怎么校验ISO镜像的完整性？SHA1/MD5哈希值查询对比【安全】_网络技术

验证ISO镜像完整性需比对官方哈希值，方法包括：一、命令行计算MD5/SHA1/SHA256并比对；二、图形工具如HashCalc自动校验；三、Rufus写入前内建哈希验证；四、GPG签名验证SUMS文件真实性。

如果您下载了ISO镜像文件（如Windows、CentOS或Ubuntu安装盘），但不确定其是否在传输过程中损坏或被恶意篡改，则需通过比对官方发布的哈希值来验证其完整性。以下是多种可操作的校验方法：

一、使用命令行工具计算并比对SHA1或MD5值

该方法直接调用操作系统内置工具，无需额外安装软件，适用于Linux、macOS及Windows（PowerShell或CMD）环境，原理是生成本地文件的哈希摘要，并与官网公布的值逐字符比对。

1、访问镜像发布页面（例如Ubuntu Releases或CentOS官网），找到对应ISO文件旁标注的SHA1SUMS、MD5SUMS或SHA256SUMS文件链接，下载该校验文件及对应的.asc或.gpg签名文件（如需高级验证）。

2、打开终端（Linux/macOS）或PowerShell（Windows），进入ISO文件所在目录。

3、执行对应命令计算本地哈希值：
— 计算MD5： md5sum filename.iso
— 计算SHA1： sha1sum filename.iso
— 计算SHA256： sha256sum filename.iso

4、将命令输出的第一列哈希字符串（不含空格和文件名）与官方SUMS文件中该ISO条目后的哈希值进行严格比对，必须完全一致（包括大小写与长度），否则文件不可信。

该方法适合不熟悉命令行的用户，通过界面化操作完成哈希计算与比对，支持多算法并行校验，降低人为误读风险。

1、下载并安装可信哈希工具，例如HashCalc 202.exe（支持MD5/SHA1/SHA256/SHA512）或QuickSFV（轻量级，侧重MD5/SHA1）。

2、启动软件后，在主界面点击“浏览”按钮，定位并选中已下载的ISO文件。

3、在算法选项区域，勾选MD5和SHA1（若需更高安全性，同时勾选SHA256）。

4、点击“计算”或“开始”按钮，等待进度完成。

5、在结果栏中查看生成的哈希字符串，并与官网提供的对应数值逐位核对，任一算法不匹配即表示文件异常。

Rufus作为主流启动盘制作工具，自v3.19起集成额外哈希校验能力，可在写入前自动验证ISO完整性，避免使用损坏镜像制作U盘。

1、下载最新版Rufus（确保版本≥3.19），运行程序。

2、按下Ctrl+Alt+P快捷键开启高级模式，或点击菜单栏“帮助→高级模式”。

3、切换至“高级选项”标签页，勾选启用额外哈希（enable_extra_hashes）选项。

4、在“引导选择”下拉框中点击“选择”，导入已下载的ISO文件。

5、Rufus将自动读取并显示该ISO的MD5、SHA1、SHA256三组哈希值；此时需手动比对官网公布值，仅当全部三项均一致时，才允许继续制作启动盘。

仅比对哈希值无法防御镜像站点本身被入侵导致SUMS文件被替换的风险；GPG签名验证可确认校验

文件确实由官方签署，构成双重保障机制。

1、从镜像站下载ISO的同时，务必下载配套的SHA256SUMS.gpg（或类似命名）签名文件。

2、在终端中执行：gpg --keyserver keyserver.ubuntu.com --recv-keys [发布者密钥ID]（密钥ID通常在官网文档或SUMS文件页注明）。

3、导入密钥后，运行：gpg --verify SHA256SUMS.gpg SHA256SUMS。

4、若输出包含Good signature from "[Official Name]"且无WARNING或BADSIG字样，则说明SUMS文件真实有效，后续哈希比对结果才具备可信基础。