怎么校验下载的Python安装包完整性(SHA256)

一、为什么下载 Python 后需要校验 SHA256

Python 安装包直接运行于操作系统底层，具备读写本地文件、执行系统调用以及配置环境变量的高级权限。在日常下载过程中，读者可能会遇到两种潜在风险：

• 网络丢包与非完整下载：在网络波动或弱网环境下，浏览器可能在文件未完全传输结束时提前提示“下载完成”。这种残缺的安装包在解压或执行安装脚本时极易出现中途报错、关键动态链接库（DLL）缺失或解释器崩溃。
• 非官方源劫持与恶意篡改：通过非官方镜像站、第三方下载聚合器甚至遭遇局域网 DNS/CDN 劫持时，攻击者可能在官方安装程序中植入挖矿程序或键盘记录器。

密码学安全散列算法 SHA-256（Secure Hash Algorithm 256-bit） 具有严格的“雪崩效应”：原始文件中只要有哪怕 1 个比特位发生变动，最终计算出的 64 位十六进制散列值就会发生天翻地覆的随机改变。因此，SHA256 散列值就像每个安装包独一无二的“数字指纹”。

二、第一步：从 Python 官方网站获取官方 SHA256 校验码

要进行比对，首先必须拿到权威的“官方标准答案”。Python 官方发布团队会在每次发布版本时，为所有架构和平台的安装文件生成对应的哈希列表。

1. 使用浏览器访问 Python 官方发布主页：https://www.python.org/downloads/。
2. 找到你所下载的目标版本页面（例如 Python 3.12.8 的专属发布页 https://www.python.org/downloads/release/python-3128/）。
3. 将页面滚动到底部的 Files（文件列表）表格。
4. 在表格中找到与你下载的文件名完全一致的行。例如 Windows 64位安装程序 Windows installer (64-bit) 对应的文件名为 python-3.12.8-amd64.exe。
5. 查看该行对应的 MD5 / SHA256 / File Size 栏目，复制官方提供的 64 位 SHA256 字符串。

三、第二步：在不同操作系统下计算本地安装包的 SHA256

现代主流操作系统（Windows 10/11、macOS、Linux 各发行版）均已内置了计算 SHA256 的原生工具，读者无需额外下载任何第三方校验软件。请根据你当前的操作系统选择对应的操作方式：

1. Windows 环境校验方法

Windows 系统推荐使用 PowerShell 的 Get-FileHash 命令，该命令自 Windows 8 / PowerShell 4.0 起即为系统标配：

操作步骤：打开保存安装包的文件夹（通常为“下载”目录），在空白处按住键盘 Shift 键并点击鼠标右键，在弹出菜单中选择“在此处打开 PowerShell 窗口”（或 Windows 11 中的“在终端中打开”）。随后输入以下命令：

Get-FileHash .\python-3.12.8-amd64.exe -Algorithm SHA256

Algorithm       Hash                                                               Path
---------       ----                                                               ----
SHA256          3A8B95E4F281B431D80C68E2F18A31D8059E753E5C58A9F321B088F9A109E2B1   C:\Users\User\Downloads\python-3.12.8-amd64.exe

备选方案（CMD 命令行）：如果你的环境中只有经典命令提示符（CMD），可以使用系统自带的证书工具 certutil：

certutil -hashfile python-3.12.8-amd64.exe SHA256

2. macOS 环境校验方法

macOS 系统预装了 Perl 密码学工具套件中的 shasum 命令，执行效率高且输出标准。

操作步骤：通过快捷键 Command + 空格 呼出聚焦搜索（Spotlight），输入“终端”并回车打开。进入下载目录并运行 shasum：

cd ~/Downloads
shasum -a 256 python-3.12.8-macos11.pkg

3a8b95e4f281b431d80c68e2f18a31d8059e753e5c58a9f321b088f9a109e2b1  python-3.12.8-macos11.pkg

3. Linux 环境校验方法

在所有基于 GNU/Linux 的系统（如 Ubuntu、Debian、CentOS、Fedora、Arch Linux 等）中，GNU Coreutils 均自带了 sha256sum 命令。

cd ~/Downloads
sha256sum Python-3.12.8.tar.xz

3a8b95e4f281b431d80c68e2f18a31d8059e753e5c58a9f321b088f9a109e2b1  Python-3.12.8.tar.xz

四、第三步：比对两组校验码

计算出本地文件的散列值后，最后一步是比对它与官网给出的值是否 100% 吻合。比对方式可以分为“人工核对”与“命令行自动化比对”。

1. 肉眼核对时的注意事项

如果选择肉眼核对，请务必关注以下细节：

• 忽略大小写差异：Windows PowerShell 默认输出大写字母（如 3A8B...），而 Python 官方网站通常以小写展示（如 3a8b...）。十六进制表示中大小写完全等价，A-F 与 a-f 对应相同数值。
• 重点核对首尾与中间：肉眼逐字符核对 64 位字符非常容易造成视觉疲劳。若进行人工确认，建议至少仔细核对前 8 位、末尾 8 位以及中间 4 位，不要只瞥一眼开头两个字符。

2. 推荐：通过一行命令实现布尔自动化判断

利用终端解释器内置的比较运算符，可以让计算机代为完成严密比对，彻底规避人眼看错的风险。

Windows (PowerShell) 自动化比对：

(Get-FileHash .\python-3.12.8-amd64.exe -Algorithm SHA256).Hash -eq "3A8B95E4F281B431D80C68E2F18A31D8059E753E5C58A9F321B088F9A109E2B1"

执行后若返回 True，代表 64 位字符完全匹配无误；若返回 False 则代表比对失败。PowerShell 的 -eq 操作符默认对大小写不敏感。

Linux / macOS (Bash / Zsh) 自动化比对：

echo "3a8b95e4f281b431d80c68e2f18a31d8059e753e5c58a9f321b088f9a109e2b1  Python-3.12.8.tar.xz" | sha256sum -c

校验成功时终端将直接打印：Python-3.12.8.tar.xz: OK。若不匹配则输出 FAILED。

五、校验结果判定与异常处置

在完成比对后，读者应当依据清晰的标准做出判定与下一步动作：