ToolBookly/CaseShift
English →
← 返回 CaseShift
教學

MD5／SHA-256 檔案雜湊唔上傳：點樣喺瀏覽器核對 checksum

# MD5／SHA-256 檔案雜湊唔上傳：點樣喺瀏覽器核對 checksum

**Slug:** `md5-sha256-file-hash-no-upload`
**Date:** 2026-10-22
**CTA:** https://toolbookly.com/zh/hashly

---

搜「md5 online」、「sha256 checksum」或者「file hash checker」會出一大堆上傳框。好多網站要你將成個檔案送到別人伺服器，先幫你計出 hex digest。Checksum 好多時用嚟核對**安裝包、NDA 文件、備份、同有 PII 嘅匯出**——你根本唔會將呢啲檔亂貼去隨便一個網站。呢篇講清楚 checksum 係咩、MD5 同 SHA-1／SHA-256 分別、點解「上傳先雜湊」係錯預設，同埋點樣喺瀏覽器安全核對 digest。

一分鐘講 checksum

**Checksum**（或者密碼學雜湊 digest）係一串固定長度嘅「指紋」：

  • 同一堆 bytes → 同一個 digest（確定性）

  • 檔案改一丁點 → digest 完全唔同

  • 現代 digest 唔可以實用噉「反推」返原檔

    • 下載頁常見：

  • **MD5** — 128-bit hex（32 字）。供應商下載頁仍然好常見，用嚟做**完整性**核對

  • **SHA-1** — 160-bit。舊式；唔好再用喺新嘅保安設計

  • **SHA-256／SHA-384／SHA-512** — 更強嘅系列；日常核對大檔多數用 SHA-256

    • 完整性（「我有冇攞到供應商公開嘅同一堆 bytes？」）同密碼保安唔係同一件事。MD5 喺**抗碰撞密碼學**已經唔夠穩，**唔可以**保護密碼——但供應商仍然會公開 MD5／SHA-256，等你確認 ISO 或者 ZIP 同出貨一致。

    MD5 vs SHA-1 vs SHA-256（實用角度）

    | 演算法 | 而家常見用途 | 密碼學強度 |
    | --

  • | --- | --- |

    • | MD5 | 下載／鏡像 checksum、快速檔案識別 | 抗碰撞弱——**唔好**用嚟簽名或者密碼 |
    | SHA-1 | 舊 manifesto、Git 歷史遺留 | 保安用途已棄用；只適合當公開完整性字串嚟對 |
    | SHA-256 | 現代檔案核對、套件、磁碟映像 | 「檔案有冇變」嘅現時預設 |
    | SHA-384／SHA-512 | 更高要求嘅清單 | 供應商有公開就跟住用更長 digest |

    如果供應商**同時**列出 MD5 同 SHA-256，優先對 **SHA-256**。淨對到 MD5 仍然有助發現意外損壞或者下錯鏡像——但唔等於抵禦可以刻意做碰撞嘅攻擊者。

    點解上傳去「hash online」有風險

    如果 checker 喺別人伺服器跑：

  • **成個檔案**可能落入 access log、物件儲存、或者 malware sandbox

  • NDA PDF、客戶 CSV、安裝包旁邊嘅私鑰、未發布 build，等於多一份喺別人度

  • 「分享結果」或者歷史 URL 可能喺你關頁之後仲留住檔名、大小、digest

  • 你核實唔到保留期、員工權限、或者下游處理商

    • 將 production 產物當你唔會電郵畀陌生人「幫你格式化」嘅文件處理。Digest 一經公開可以係公開資訊；**檔案 bytes 通常唔係**。

    URL 同瀏覽紀錄陷阱

    有啲工具將 digest——或者更糟，你上傳檔嘅短時下載——寫入 query string，令「結果」可以 bookmark。咁樣可能洩漏去：

  • 瀏覽紀錄

  • 你撳出站連結時嘅 Referrer

  • 記低完整 URL 嘅 proxy／CDN log

    • 安全嘅 checker 將檔案留喺本地記憶體（或者 `File` handle），喺裝置上計 digest，唔會為咗「pretty print」POST 出去——**唔中轉**。

    核對流程（供應商預期雜湊）

  • 由供應商頁、release notes、或者 `SHA256SUMS` 複製預期 digest（信任你搵下載嗰個渠道）

  • 打開**瀏覽器端**雜湊工具——最好斷網都用得

  • 拖入下載咗嘅檔（或者貼文字），本地計 MD5／SHA-256／其他

  • 將預期 hex 貼入**驗證**欄，確認吻合（大小寫同空白應該唔影響）

  • 唔啱就換第二個鏡像再下載、確認有冇揀錯產物（arm64 vs x64），對唔到就唔好執行安裝程式

    • 用任何線上檔案雜湊工具之前嘅清單

  • 優先標明 **client-side／瀏覽器內**、載入後離線都用得嘅工具

  • 唔好將 NDA、客戶資料、未簽名內部 build 上傳去隨便「md5 online」

  • 拒絕要開戶、留「雜湊歷史」、或者將檔案內容寫入 URL 嘅工具

  • 供應商有 SHA-256 就優先用；MD5 只當額外完整性字串

  • 對照你信任渠道嘅預期 digest——digest 吻合本身唔等於供應商一定誠實

    • 私隱替代：用 Hashly 喺瀏覽器計

    Hashly 係 ToolBookly 嘅檔案／文字雜湊工具。佢喺瀏覽器計 **MD5、SHA-1、SHA-256、SHA-384、SHA-512**（SHA-* 用 Web Crypto，MD5 用細嘅本地實作）。拖任何檔或者貼文字、並排睇多種 digest，再將預期雜湊貼入**驗證**——**唔上傳、唔中轉**。Bytes 唔會離開裝置，亦唔會寫入頁面 URL。頁面載入後，離線都可以再計。

    **典型流程：**

  • 打開 Hashly

  • 拖入檔案（或者貼文字）

  • 睇 MD5／SHA-* digest

  • 將供應商預期雜湊貼入驗證 —— 仍然本地

    • 英文介面：Hashly

    邊種情況伺服器端 hash checker 仍然 OK

    RFC 例子嘅公開 sample。你願意公開再上傳嘅開源 ISO。用即棄 `.txt` 嘅教學 demo。

    安裝包旁邊有 production 秘密、合約 PDF、私人封存——雜湊應該留喺**你部裝置**。

    結語

    要你上傳成個檔先計得嘅 file hash checker，等於為咗一串你可以本地計嘅指紋分享成個產物。優先瀏覽器端 MD5／SHA-256——唔上傳、唔寫入 URL、並排 digest、可選對照供應商字串驗證。

    用 Hashly 喺瀏覽器核對 MD5／SHA-256（唔中轉）→