crypto/sha256 是计算文件 SHA256 哈希最稳妥方式，需流式读取、正确使用 hash.Write/Sum、避免内存泄漏与字符串比较，校验前须确认文件完整性及格式一致性。
用 crypto/sha256 计算文件哈希最稳妥
Go 标准库的 crypto/sha256 是唯一推荐路径，不依赖第三方包，无兼容性风险。关键不是“怎么调用”，而是“怎么读得对”：必须用流式读取（io.Copy 或分块 Read），不能把整个文件 os.ReadFile 进内存——大文件直接 OOM。
常见错误是误用 sha256.Sum256 的零值方法：sum := sha256.Sum256{} 后直接 sum.Sum(nil)，这返回的是空哈希，不是文件内容的哈希。正确做法是先 hash.Write() 写入数据，再 hash.Sum(nil) 获取结果。
- 始终打开文件后 defer
file.Close()，否则句柄泄漏 - 用
make([]byte, 32*1024)分配固定缓冲区，比make([]byte, 0, 32*1024)更省内存（避免切片扩容） - 校验前检查
os.Stat().Size()是否为 0，空文件会得到确定哈希值，但业务上可能需特殊处理
对比两个文件是否 SHA256 一致，别用字符串比较
直接比较 hex.EncodeToString(sum1[:]) == hex.EncodeToString(sum2[:]) 看似直观，但有隐患：编码过程引入额外分配和 GC 压力；更严重的是，若哈希值来自不可信来源（比如 HTTP 响应头），十六进制字符串可能被篡改或填充空格/换行。应该用 bytes.Equal(sum1[:], sum2[:]) 比较原始字节数组。
另一个典型场景是下载后校验：服务端提供 SHA256: abcd... 字符串，你需要先用 hex.DecodeString 解码成 []byte，再和本地计算结果比对。注意 hex.DecodeString 可能返回错误（长度非偶数、含非法字符），必须检查 err。
立即学习“go语言免费学习笔记（深入）”；
使用 uber-go/dig 在 Golang 中实现依赖注入——基于反射容器，提供 Provide/Invoke、dig.In/dig.Out 参数与结果对象，支持命名依赖等
- 不要用
strings.ToLower处理输入哈希值——hex.DecodeString本身不区分大小写 - 如果服务端返回的是 base64 编码（如
Content-Security-Policy中的 hash），要用base64.StdEncoding.DecodeString，不是 hex - 避免在循环里反复创建
sha256.New()实例，可复用（但注意并发安全：每个 goroutine 应独占一个 hash 实例）
io.MultiReader 能合并多个文件做整体校验
当需要校验“多个小文件拼成一个逻辑文件”的场景（比如分卷压缩包、分片上传），不用先把它们合并到磁盘再算哈希——既慢又占空间。用 io.MultiReader 把多个 *os.File 或 bytes.Reader 串起来，传给 io.Copy(hash, multiReader) 即可。
注意顺序必须严格一致：文件 A+B 和 B+A 的哈希完全不同。如果文件列表来自用户输入或网络，务必先排序（按文件名或指定顺序），否则校验必然失败。
-
MultiReader不会自动关闭内部 reader，需手动管理每个文件的Close() - 若某个文件读取中途出错（如权限不足），
io.Copy会立即返回 error，后续文件不会被读取——这是预期行为，不是 bug - 不能用
MultiReader处理同一个文件多次（比如MultiReader(f, f)），第二次读会从上次 offset 继续，结果不可预测
校验失败时，优先排查文件是否被修改或截断
SHA256 不匹配，90% 情况不是代码问题，而是文件状态异常。先运行 ls -l 和 stat 看大小是否和预期一致；用 head -c 100 file | od -x 对比开头字节；如果文件在 NFS 或容器卷上，确认没有缓存延迟或挂载选项（如 noac）导致 stat 结果不准。
另一个隐蔽坑是文本文件的换行符：Windows 的 \r\n 和 Linux 的 \n 会导致哈希完全不同。如果校验对象是配置文件或脚本，需明确约定行尾格式，并在 CI/CD 中用 dos2unix 或 Git 的 core.autocrlf 统一处理。
- 不要在计算哈希前用
bufio.Scanner读文件——它默认丢弃换行符且无法还原原始字节 - 如果文件是通过 HTTP 下载的，检查响应头
Content-Length是否和本地文件大小一致，不一致说明传输中断 - 某些编辑器（如 VS Code）保存时会自动添加 BOM，二进制校验时需注意
