如何用 Checksum 驗證檔案完整性？

什麼是 Checksum？

Checksum（校驗和）就是用雜湊函數對整個檔案計算出來的那串固定長度的值。因為雜湊具有「確定性」與「雪崩效應」——同一個檔案永遠算出同樣的值，而檔案只要被改動一個位元組，結果就會徹底不同——所以這串值可以當成檔案的數位指紋。

軟體發行者通常會在下載頁面附上官方的 checksum（最常見是 SHA-256）。你下載完檔案後，自己算一次 checksum 跟官方比對：相同代表檔案完整無誤；不同代表檔案在傳輸中損壞，或被人動過手腳。

為什麼要驗證檔案？

驗證 checksum 主要防範兩種情況：

• 傳輸損壞：網路不穩、下載中斷續傳、儲存裝置出錯，都可能讓檔案缺了幾個位元組。這種檔案安裝時往往會報錯，事先驗證可以省下安裝失敗才發現的麻煩。
• 惡意竄改：下載鏡像站被入侵、或遭中間人攻擊，攻擊者可能把正常程式換成植入惡意程式的版本。只要官方 checksum 是從可信來源取得的，比對就能識破這種替換。

對於作業系統映像檔、開發工具、加密貨幣錢包這類重要軟體，驗證 checksum 是值得養成的習慣。

驗證的基本流程

1. 下載檔案。
2. 在官方頁面找到對應的 checksum 值，並確認用的是哪種演算法（MD5、SHA-1 還是 SHA-256）。
3. 用工具或指令對下載的檔案計算同一種演算法的 checksum。
4. 比對兩串值。雜湊比對不分大小寫，只要字元順序一致即可。
5. 相同就放心使用；不同就重新下載，或換一個下載來源。

Windows 怎麼算

Windows 內建 certutil 指令，不需安裝任何軟體。開啟命令提示字元或 PowerShell，輸入：

certutil -hashfile C:\path\to\file.iso SHA256

把 SHA256 換成 MD5 或 SHA1 就能算其他演算法。若你慣用 PowerShell，也可以用更直覺的 Get-FileHash：

Get-FileHash C:\path\to\file.iso -Algorithm SHA256

macOS 怎麼算

macOS 內建相關指令，打開「終端機」即可使用。計算 SHA-256：

shasum -a 256 /path/to/file.iso

-a 後面可以接 1（SHA-1）、256（SHA-256）或 512（SHA-512）。要算 MD5 則用另一個指令：

md5 /path/to/file.iso

Linux 怎麼算

多數 Linux 發行版都內建這些工具，每種演算法各有對應指令：

md5sum    file.iso
sha1sum   file.iso
sha256sum file.iso
sha512sum file.iso

如果官方提供了 SHA256SUMS 這種校驗檔，可以讓系統自動比對，相符會顯示 OK：

sha256sum -c SHA256SUMS

各系統指令速查

用本工具更省事

如果不想記指令，或想直接在瀏覽器裡完成驗證，可以用本站的雜湊值產生器：

1. 切到「檔案雜湊」分頁，把下載的檔案拖進去（或點擊選擇）。
2. 勾選官方使用的演算法，按下計算，就會得到該檔案的 checksum。
3. 把官方公布的 checksum 貼進「比對雜湊值」欄位，工具會即時告訴你相符與否，不必逐字比對 64 個字元。

所有計算都在你的瀏覽器本地完成，檔案不會上傳到任何伺服器，大檔案也能安心處理。

注意事項

• 演算法要對上：用 SHA-256 算出的值，只能跟官方的 SHA-256 比，不能拿去比 MD5。
• MD5 與 SHA-1 的侷限：它們仍可偵測意外損壞，但因已被攻破，不能完全信賴它們防範蓄意竄改。可能的話，優先採用官方提供的 SHA-256。
• checksum 來源要可信：驗證的可靠度取決於你比對的那個官方值是不是真的。盡量從官方主站取得，必要時多方交叉確認。
• 不分大小寫：雜湊值用大寫或小寫呈現都一樣，比對時忽略大小寫即可。