哈希应用：校验和、HMAC 与 Git
了解哈希在密码存储、数据完整性和版本控制中的应用
哈希应用：校验和、HMAC 与 Git 是 CoddyKit 上的免费 Cryptology Academy 课时。 这是第 4 节课，共 4 节。 你可以在下方免费阅读本课时的完整内容 — 然后在浏览器中使用内置代码编辑器和全天候 AI 导师进行实践。 这是 Cryptology Academy 学习路径的一部分，你的进度在网页和 CoddyKit 应用中同步。 Cryptology Academy 课程共包含 4 节课。
欢迎
哈希函数在实际系统中发挥三项关键作用：验证数据完整性（校验和）、认证消息（HMAC）以及追踪代码历史（Git）。
文件校验和
下载软件时，提供方会发布 SHA-256 哈希。下载完成后，您可以计算哈希并进行比较：
sha256sum ubuntu-24.04.iso
# Should match published value exactly
存储中的数据完整性
ZFS 和 Btrfs 等数据库会为每个数据块计算 SHA-256 校验和。读取数据时，系统会验证校验和，并自动检测静默磁盘损坏。
内容寻址存储
Git、IPFS 和 Docker 使用内容寻址存储：每个对象的名称就是其哈希。SHA-256(content) = 唯一 ID。相同内容只需存储一次，重复内容会立即被检测出来。
Git 对 SHA-1（及 SHA-256）的使用
每个 Git 提交、树和 blob 都有一个 SHA-1 哈希。提交哈希涵盖：内容 + 元数据 + 父级哈希。任何一位发生变化都会改变哈希，从而使历史记录具有可篡改检测能力。
HMAC 结构
HMAC-SHA256(key, msg) = SHA256((key' XOR opad) || SHA256((key' XOR ipad) || msg))
使用 XOR 填充的双重哈希结构，可以防止针对带密钥 MAC 的长度扩展攻击。
Python 中的 HMAC
import hmac, hashlib
def create_mac(key: bytes, msg: bytes) -> str:
return hmac.new(key, msg, hashlib.sha256).hexdigest()
mac = create_mac(b'secret', b'Hello!')
恒定时间比较
始终使用 hmac.compare_digest() 比较 HMAC，而不要使用 ==。
时序攻击：提前退出的比较会泄露匹配长度。
hmac.compare_digest 会以恒定时间比较所有字节。
API 认证中的 HMAC
GitHub Webhook：每个负载都使用共享密钥通过 HMAC-SHA256 进行签名。接收 Webhook → 计算 HMAC → 与 X-Hub-Signature-256 标头进行比较。
使用哈希验证密码
登录流程：用户提交密码 → 服务器计算哈希 → 与存储的哈希进行比较。服务器从不解密密码，而是重新计算哈希并进行比较。存储的哈希不会泄露密码。
Merkle 树的应用
Merkle 树在数据上构建哈希树。Bitcoin 区块包含所有交易的 Merkle 根。证书透明度使用 Merkle 树来构建具有篡改检测能力的审计日志。
快速检查
为什么比较 HMAC 时必须使用 hmac.compare_digest()，而不能使用 ==？
回顾
非常好！您已经将哈希应用到了实际场景中。接下来我们将深入学习 AES——全球部署最广泛的对称加密标准。
常见问题解答
「哈希应用：校验和、HMAC 与 Git」课时是免费的吗？
是的 — 「哈希应用：校验和、HMAC 与 Git」的完整文本可在网页上免费阅读。要进行交互式练习（内置代码编辑器和全天候 AI 导师）并解锁 Cryptology Academy 课程的其余内容，请升级到 CoddyKit PRO。 Cryptology Academy 课程共包含 4 节课。
「哈希应用：校验和、HMAC 与 Git」这节课中我会学到什么？
了解哈希在密码存储、数据完整性和版本控制中的应用 你通过在浏览器中直接运行的动手代码来练习 Cryptology Academy，全天候 AI 导师会在你学习这节课的过程中回答你的问题。
学习 Cryptology Academy 需要有经验吗？
无需任何先前经验。CoddyKit 上的 Cryptology Academy 课程适合初学者到高级学习者，你可以从这里开始或从头开始，按照自己的节奏学习。 这是第 4 节课，共 4 节。
「哈希应用：校验和、HMAC 与 Git」课时需要多长时间？
大多数 CoddyKit 课程大约需要 5–10 分钟。每节课都很精短且互动，所以你能稳步进步，并在网页和应用中从离开的地方继续。
我能在这节 Cryptology Academy 课中编写并运行代码吗？
能。每节 Cryptology Academy 课都包含内置代码编辑器，你可以在浏览器中直接编写并运行真实代码，并获得即时 AI 反馈 — 无需本地设置。
此课程中的所有课时
- 优秀哈希函数的特征
- MD5：历史、用途与失效原因
- SHA-1 与 SHA-2 系列详解
- 哈希应用：校验和、HMAC 与 Git