md5sum filename.txt 输出“哈希值 文件名”，文件名含空格等需加引号；提取纯哈希用cut -d' ' -f1；校验时路径须匹配，-c配合-w和--quiet更可靠；MD5仅适用于完整性校验，安全场景应换用sha256sum。
直接用 md5sum 算单个文件，但输出带文件名
运行 md5sum filename.txt 就能立刻得到结果，比如：d41d8cd98f00b204e9800998ecf8427e filename.txt。注意两点：一是空格前后都是关键部分，左边是 32 位哈希值，右边是文件路径；二是如果文件名含空格、括号或中文，必须加引号，否则 md5sum 会把它们当多个参数处理，报错 No such file。
常见错误现象：
-
md5sum my file.txt→ 报错：找不到my和file.txt -
md5sum "my file.txt"→ 正确
若你只要纯哈希值（比如贴进脚本或比对工具），用管道加 cut：md5sum "my file.txt" | cut -d' ' -f1。别用 awk '{print $1}'——万一文件名里有空格，awk 会切错字段。
生成和校验 .md5 文件时，路径和模式必须一致
批量保存哈希值的标准做法是：md5sum file1.bin file2.tar.gz > checksums.md5。这个文件每行格式必须是 哈希值 *文件名 或 哈希值 文件名，其中 * 表示二进制模式校验（推荐），空格表示文本模式（会归一化换行符，慎用）。
校验时执行 md5sum -c checksums.md5，但容易踩的坑有：
- 校验文件里写的是
data.zip，而你当前在/tmp/目录下运行命令，但实际文件在~/downloads/data.zip→ 报No such file - 校验文件中用了相对路径（如
./config.json），那你必须在相同目录下执行md5sum -c，否则路径解析失败 - 想只看失败项？加
--quiet：md5sum -c --quiet checksums.md5，成功项完全不输出
另外，-c 模式默认不检查校验文件本身格式是否合法，加 -w 可警告非法行（比如缺空格、多出字段），调试阶段建议加上。
md5sum 结果和别人不一致？先查这四件事
哈希值不同，几乎可以断定内容不一致，而不是命令用错了。重点排查：
- 文件是否被编辑过？哪怕
echo "hello" > a.txt和printf "hello" > a.txt的 MD5 都不同——前者末尾有换行符 - 换行符差异：Windows 下保存的文本（CRLF）和 Linux（LF）算出来的 MD5 必然不同
- BOM 头：UTF-8 带 BOM 的文件，开头多了
EF BB BF三个字节，MD5 完全不一样 - 下载中断：用
curl -O下载大文件时网络断了，补下后文件大小对得上，但末尾缺字节，MD5 肯定变
验证方法很简单：用 ls -l 看大小，head -c 16 和 tail -c 16 对比首尾字节，再用 file 命令看编码和换行类型。
安全场景别用 md5sum，换 sha256sum 几乎零成本
MD5 已被证实可构造碰撞，**不能用于密码、签名、防篡改等安全场景**。但日常校验下载完整性（比如 ISO 镜像是否损坏）仍可靠——随机损坏导致哈希巧合一致的概率是 1/2¹²⁸，实际可忽略。
如果你需要更强保障（例如发布软件包、验证固件），直接把命令名换成 sha256sum 即可，其余用法完全一样：
sha256sum archive.tar.xzsha256sum *.deb > packages.sha256sha256sum -c packages.sha256
唯一区别是输出长度：SHA256 是 64 位十六进制字符串，比 MD5 的 32 位更难碰撞，且所有主流 Linux 发行版都预装 sha256sum，无需额外安装。
真正容易被忽略的是：很多人生成了 checksums.md5 后就以为万事大吉，却没保护好这个文件本身——它要是被篡改，校验就彻底失效。所以校验文件最好和原始文件一起用 HTTPS 下载，或通过 GPG 签名验证。
