科普 •

SHA-256 哈希算法详解：原理、用途、安全性与实践建议

深入解析 SHA-256 哈希算法的工作原理、输出格式、常见应用、安全边界以及与 MD5、SHA-1、SHA-512 的区别。包含在线 SHA 哈希生成器推荐。

SHA-256（Secure Hash Algorithm 256-bit）是目前最常见、最实用的密码学哈希算法之一。它可以把任意长度的输入数据转换成固定长度的 256 位摘要，通常显示为 64 个十六进制字符。无论是文件完整性校验、数字签名、区块链、API 签名，还是安全日志与内容寻址系统，SHA-256 都经常作为可靠的基础组件出现。

如果你需要快速生成 SHA-256、SHA-1、SHA-512 等哈希值，可以使用我们的 SHA 哈希生成器。

需要特别说明的是，SHA-256 是哈希算法，不是加密算法。它不能被“解密”，也不适合直接用于密码存储。理解这些边界，才能在真实项目中正确使用它。

1. 什么是 SHA-256？

SHA-256 属于 SHA-2 系列，由美国国家安全局（NSA）设计，并由美国国家标准与技术研究院（NIST）发布在 FIPS 180 系列标准中。SHA-2 家族包含 SHA-224、SHA-256、SHA-384、SHA-512、SHA-512/224 和 SHA-512/256 等变体，其中 SHA-256 是应用最广泛的一种。

SHA-256 的核心参数如下：

项目SHA-256 参数
输出长度256 位
十六进制长度64 个字符
分组大小512 位
内部工作字长32 位
压缩轮数64 轮
所属系列SHA-2

示例：

输入: "Hello World"
SHA-256: "a591a6d40bf420404a011733cfb7b190d62c65bf0bcda32b57b277d9ad9f146e"

输入: "Hello World!"
SHA-256: "7f83b1657ff1fc53b92dc18148a1d65dfc2d4b1fa3d677284addd200126d9069"

只增加一个感叹号，结果就完全不同。这种输入微小变化导致输出巨大变化的现象，称为雪崩效应。

2. 哈希函数应该具备哪些特性？

一个适合安全场景的密码学哈希函数，通常需要具备以下性质：

  • 确定性：相同输入永远得到相同输出
  • 定长输出：无论输入是一个字符还是一个大文件，输出长度固定
  • 高效计算：可以快速处理文本、二进制文件和数据流
  • 单向性：给定哈希值，很难反推出原始输入
  • 抗第二原像攻击：给定一个输入，很难找到另一个不同输入产生相同哈希
  • 抗碰撞性：很难找到任意两个不同输入产生相同哈希

SHA-256 的 256 位输出提供了很大的安全余量。对于理想哈希函数，碰撞攻击的通用复杂度约为 2^128，原像攻击复杂度约为 2^256。这也是 SHA-256 在现代系统中仍被广泛采用的重要原因。

3. SHA-256 的工作原理

从整体上看，SHA-256 的计算过程可以分为：消息填充、分块处理、消息扩展、压缩运算和输出摘要。它基于 Merkle-Damgård 结构，每个数据分组都会更新内部状态，最终得到固定长度的哈希值。

3.1 消息填充

SHA-256 首先对输入消息进行填充，使其长度满足 512 位分组处理的要求：

  1. 在原始消息末尾追加一个 1 位
  2. 继续追加若干个 0 位
  3. 让填充后的长度满足 448 mod 512
  4. 最后追加 64 位长度字段，记录原始消息的位长度

填充后，消息总长度会变成 512 位的整数倍。即使输入为空字符串，也会经过同样的填充流程。

3.2 初始化哈希状态

SHA-256 使用 8 个 32 位初始哈希值。这些常量来自前 8 个素数平方根的小数部分：

h0 = 0x6a09e667
h1 = 0xbb67ae85
h2 = 0x3c6ef372
h3 = 0xa54ff53a
h4 = 0x510e527f
h5 = 0x9b05688c
h6 = 0x1f83d9ab
h7 = 0x5be0cd19

这些初始值会参与第一个 512 位分组的压缩运算。每处理完一个分组，状态都会更新一次。

3.3 消息扩展

每个 512 位分组会先拆分成 16 个 32 位字，然后扩展为 64 个 32 位字，记作 W[0] 到 W[63]。

扩展过程会使用循环右移、右移和异或操作：

s0 = ROTR7(W[t-15]) XOR ROTR18(W[t-15]) XOR SHR3(W[t-15])
s1 = ROTR17(W[t-2]) XOR ROTR19(W[t-2]) XOR SHR10(W[t-2])
W[t] = W[t-16] + s0 + W[t-7] + s1

消息扩展的作用是让原始分组中的每一部分在后续 64 轮压缩中反复参与计算，从而增强扩散效果。

3.4 64 轮压缩运算

SHA-256 对每个分组执行 64 轮压缩。每一轮都使用一个轮常量 K[t]、一个消息字 W[t]，以及 8 个工作变量 a 到 h。

核心逻辑可以简化表示为：

S1  = ROTR6(e) XOR ROTR11(e) XOR ROTR25(e)
ch  = (e AND f) XOR ((NOT e) AND g)
temp1 = h + S1 + ch + K[t] + W[t]
S0  = ROTR2(a) XOR ROTR13(a) XOR ROTR22(a)
maj = (a AND b) XOR (a AND c) XOR (b AND c)
temp2 = S0 + maj

其中：

  • ROTR 表示循环右移
  • SHR 表示逻辑右移
  • ch 是选择函数
  • maj 是多数函数
  • 加法按 32 位无符号整数取模

这组位运算让输入、内部状态和常量充分混合。经过 64 轮后，工作变量会加回当前哈希状态。

3.5 输出最终摘要

所有分组处理完成后，将 8 个 32 位状态值依次连接：

SHA256 = h0 || h1 || h2 || h3 || h4 || h5 || h6 || h7

最终得到 256 位摘要。实际展示时通常会编码为 64 位十六进制字符串。

4. SHA-256 的典型应用场景

4.1 文件完整性校验

软件下载、镜像分发和备份系统经常提供 SHA-256 校验值。用户下载文件后，可以重新计算本地文件的 SHA-256 并与发布方给出的值比较。

发布方 SHA-256:  2cf24dba5fb0a30e26e83b2ac5b9e29e1b161e5c1fa7425e73043362938b9824
本地文件 SHA-256: 2cf24dba5fb0a30e26e83b2ac5b9e29e1b161e5c1fa7425e73043362938b9824

如果两者一致，通常说明文件没有发生意外损坏。但哈希值本身不证明来源可信。如果攻击者能同时替换文件和页面上的哈希值，仍然可能欺骗用户。因此，安全分发还需要 HTTPS、数字签名或可信发布渠道。

4.2 数字签名

数字签名通常不会直接对大文件签名，而是先对文件计算哈希，再对哈希值签名。SHA-256 常与 RSA、ECDSA、Ed25519 等签名算法一起使用。

典型流程是：

  1. 对原始数据计算 SHA-256 摘要
  2. 使用私钥对摘要或签名结构进行签名
  3. 验证者使用公钥验证签名
  4. 验证者重新计算数据摘要，确认内容未被篡改

在这个场景中，SHA-256 提供内容摘要，签名算法提供身份和不可抵赖性。

4.3 API 签名与消息认证

许多接口会使用哈希来生成请求摘要，但如果涉及身份认证，通常应使用 HMAC-SHA-256，而不是简单拼接密钥后计算 SHA-256。

推荐方式：

HMAC-SHA-256(secret, message)

不推荐方式：

SHA-256(secret || message)

原因是普通 SHA-256 属于 Merkle-Damgård 结构，错误的拼接方式可能引入长度扩展攻击风险。HMAC 是专门为消息认证设计的结构，可以避免这类问题。

4.4 区块链与内容寻址

SHA-256 在比特币等区块链系统中非常重要。比特币区块头使用双重 SHA-256，交易标识、区块哈希和工作量证明都与哈希计算密切相关。

在内容寻址系统中，数据的哈希值可以作为内容标识。只要内容发生任何变化，哈希值也会变化，因此非常适合用于不可变对象、缓存、去重和数据同步。

4.5 日志审计与数据指纹

安全审计系统常用 SHA-256 为日志、配置、证据文件或数据快照生成指纹。通过定期记录哈希值，可以帮助检测内容是否被修改。

更严格的场景会将多个哈希值组成 Merkle Tree，或者将哈希记录写入不可变存储，以便后续验证时间顺序和完整性。

5. SHA-256 与 MD5、SHA-1、SHA-512 的区别

算法输出长度当前安全性常见建议
MD5128 位已严重不安全仅用于旧系统兼容或非安全标识
SHA-1160 位已不适合安全用途仅用于旧系统兼容或非对抗校验
SHA-256256 位通用安全选择文件校验、签名、证书、API 摘要
SHA-512512 位安全余量更高高强度摘要，部分 64 位平台上性能很好
SHA-3可变现代安全设计需要不同结构或新标准时使用

在新项目中，如果没有特殊约束，SHA-256 通常是兼容性、安全性和性能之间的稳妥选择。

6. SHA-256 的安全边界

SHA-256 很安全，但它不是万能工具。常见误用主要集中在以下几个方面。

6.1 SHA-256 不能加密和解密

加密算法需要密钥，并且可以通过解密恢复原文。SHA-256 没有密钥，也没有解密过程。它只能生成摘要，不能从摘要恢复原始内容。

所谓“破解 SHA-256”通常不是解密，而是通过字典、暴力枚举或已知输入集合寻找匹配值。对于短密码、手机号、邮箱等低熵数据，即使使用 SHA-256，也可能被猜出来。

6.2 不要直接用 SHA-256 存储密码

SHA-256 计算速度很快，这对文件校验是优点，但对密码存储是缺点。攻击者拿到数据库后，可以用 GPU 或专用硬件高速尝试大量候选密码。

密码存储应使用专门的密码哈希算法：

  • Argon2：现代推荐方案，支持内存成本调节
  • bcrypt：成熟可靠，应用广泛
  • scrypt：通过内存成本抵抗硬件爆破
  • PBKDF2：标准化程度高，适合需要合规兼容的系统

这些算法都支持盐值和成本参数，能显著提高离线爆破成本。

6.3 普通 SHA-256 不等于消息认证

如果你需要证明消息来自持有密钥的一方，应使用 HMAC-SHA-256。普通 SHA-256 只能说明“内容对应这个摘要”，不能证明“是谁生成了这个摘要”。

例如，文件下载页面上的 SHA-256 值只能帮助检测传输损坏；如果需要证明文件确实来自发布者，还需要数字签名。

6.4 注意长度扩展攻击

SHA-256 使用 Merkle-Damgård 结构，因此在某些错误用法下可能受到长度扩展攻击影响。典型风险是把密钥直接拼接到消息前面：

token = SHA-256(secret || message)

如果攻击者知道 token 和 message，在某些条件下可能构造扩展消息的有效摘要。正确做法是使用 HMAC：

token = HMAC-SHA-256(secret, message)

7. 实际使用建议

在工程实践中，可以按以下规则选择和使用 SHA-256：

  1. 文件校验优先使用 SHA-256：比 MD5 和 SHA-1 更适合现代安全要求
  2. 签名场景使用 SHA-256 或更强算法：并配合可靠的签名方案
  3. 接口认证使用 HMAC-SHA-256：不要自己设计密钥拼接规则
  4. 密码存储不要用普通 SHA-256：改用 Argon2、bcrypt、scrypt 或 PBKDF2
  5. 比较哈希时使用恒定时间比较：尤其是在认证 token、签名摘要等敏感场景中
  6. 明确编码方式：文本哈希前要统一 UTF-8、换行符和大小写规则
  7. 保护哈希来源：校验值也需要来自可信渠道，否则只能检测意外损坏

8. 常见问题

8.1 SHA-256 会碰撞吗？

理论上会。任何固定长度哈希函数都存在碰撞，因为输入空间无限而输出空间有限。但对 SHA-256 来说，找到实际可用碰撞的成本极高，目前在通用安全场景中仍被认为是可靠选择。

8.2 SHA-256 输出可以变短吗？

可以截断，但要理解安全性会下降。例如截断到 128 位后，碰撞安全强度大约降到 64 位级别。除非协议明确要求，否则建议保留完整 256 位输出。

8.3 SHA-256 和 SHA-512 哪个更好？

两者都属于 SHA-2。SHA-512 输出更长，安全余量更高，并且在一些 64 位平台上可能更快；SHA-256 兼容性更广，输出更短，最适合通用场景。

8.4 为什么同一段文字算出的 SHA-256 不一样？

常见原因包括编码不同、末尾多了换行符、空格不同、大小写不同、文件中存在不可见字符，或工具按文件内容和文本内容使用了不同输入。哈希函数对每一个字节都敏感。

9. 总结

SHA-256 是现代软件系统中非常重要的基础算法。它输出固定、计算高效、抗碰撞能力强，适合用于文件完整性校验、数字签名摘要、API 消息认证、区块链和内容寻址等场景。

但 SHA-256 不是加密算法，也不是密码存储算法。需要身份认证时应使用 HMAC-SHA-256，需要签名时应使用成熟签名方案，需要存储密码时应使用 Argon2、bcrypt、scrypt 或 PBKDF2。正确理解它的能力与边界，才能让 SHA-256 真正发挥安全价值。