GPG
1 篇验证开源软件包：从校验和到 GPG 签名
从开源项目下载二进制文件或源码压缩包时，常见的做法是“检查哈希”。这能确认文件没有在传输途中损坏，却不能证明文件确实出自合法的维护者。 对于关注安全的用户和开发者，验证应当是一条完整的流程：从完整性（文件是否发生变化？）走向真实性（是谁签署了这个文件？）。 基础：用校验和验证完整性 校验和（哈希）是第一道防线，可以检测意外损坏或简单的篡改。 常用命令 不同操作系统使用不同的工具来计算下载文件的哈希。 Linux（GNU Coreutils）： sha256sum package.tar.gz …
从开源项目下载二进制文件或源码压缩包时，常见的做法是“检查哈希”。这能确认文件没有在传输途中损坏，却不能证明文件确实出自合法的维护者。 对于关注安全的用户和开发者，验证应当是一条完整的流程：从完整性（文件是否发生变化？）走向真实性（是谁签署了这个文件？）。 基础：用校验和验证完整性 校验和（哈希）是第一道防线，可以检测意外损坏或简单的篡改。 常用命令 不同操作系统使用不同的工具来计算下载文件的哈希。 Linux（GNU Coreutils）： sha256sum package.tar.gz …