应使用 MD5.Create() 而非已过时的 MD5CryptoServiceProvider；用 File.OpenRead() 流式计算大文件哈希，避免内存溢出；注意路径合法性、权限问题及哈希字符串格式统一（小写无横线），推荐迁移到 HashAlgorithm.Create(HashAlgorithmName.MD5) 以提升可维护性。
用 MD5.Create() 计算文件哈希最稳
别碰 MD5CryptoServiceProvider —— 它是旧版 .NET Framework 的遗留类型，.NET Core / .NET 5+ 中已标记为过时，且在某些 AOT 或容器环境下可能抛 PlatformNotSupportedException。直接用静态工厂 MD5.Create()，它会自动返回当前运行时支持的最优实现。
常见错误是手动 new 一个具体类，或者误以为要传参数进去。其实就一行初始化：
using (var md5 = MD5.Create())
{
using (var stream = File.OpenRead(filePath))
{
var hashBytes = md5.ComputeHash(stream);
return BitConverter.ToString(hashBytes).Replace("-", "").ToLowerInvariant();
}
}
-
File.OpenRead()比File.ReadAllBytes()更安全：大文件（比如几百 MB 的安装包）不会一次性占满内存 - 别用
Encoding.UTF8.GetBytes()去“读文件内容再算哈希”——那是算文本哈希，不是文件二进制哈希 - 注意
BitConverter.ToString()默认带短横线，校验时若服务端给的是无分隔符小写字符串，必须.Replace("-", "").ToLowerInvariant()
校验安装包时，路径和权限最容易翻车
你本地跑通了，一放到客户机器上就报 UnauthorizedAccessException 或 FileNotFoundException，大概率不是算法问题，而是执行上下文没搞清。
- 如果是 Windows 服务或后台进程启动的安装程序，
AppDomain.CurrentDomain.BaseDirectory可能指向 system32 或服务 bin 目录，不是你期望的安装包所在路径 - 用绝对路径前先确认：调用
Path.GetFullPath(filePath)，再检查File.Exists()，别假设路径一定存在 - 安装包常被下载到
%TEMP%，而某些杀软或组策略会限制对临时目录的读取——建议提前用try/catch (IOException)包住流打开逻辑，并给出明确提示（比如“无法读取安装包，请关闭杀毒软件重试”）
比对哈希值时，大小写和格式必须严格一致
MD5 值本质是 16 字节二进制，转成字符串只是表现形式。服务端给的参考值可能是大写、带短横、甚至带 0x 前缀；你本地算出来的小写无分隔符，直接 == 会失败。
- 统一转成小写 + 去短横是最简方案，但前提是双方约定好这个规范
- 更健壮的做法是把字符串先解析回字节数组再比：
Enumerable.SequenceEqual(hash1, hash2)，避免任何字符串处理引入歧义 - 如果参考值来自 HTTP Header（如
X-Expected-MD5），注意它可能被代理截断或编码，建议优先走 JSON body 或独立校验文件传输
.NET 6+ 推荐用 HashAlgorithmName.MD5 + Hashing API
虽然 MD5.Create() 还能用，但新项目建议迁移到 CryptographicOperations 配合泛型哈希入口，语义更清晰，也预留了未来切 SHA256 的余地。
using var algorithm = HashAlgorithm.Create(HashAlgorithmName.MD5); var hash = algorithm.ComputeHash(File.OpenRead(filePath)); // 后续处理同上
-
HashAlgorithmName.MD5是枚举值，比字符串字面量更类型安全 - 注意
HashAlgorithm.Create()返回的是HashAlgorithm抽象类实例，不是具体实现类，不用管底层是哪套 provider - 如果将来要升级到 SHA256，只需改一个枚举值，其余代码完全不动
