SHA256校验是部署前必须完成的“第一道安检”，须从官方主域名获取可信校验值，结合GPG签名验证防供应链攻击，并在CI/CD中自动化执行。
下载安装包后不做校验，等于把门钥匙直接交给网络链路上的任何中间节点。SHA256校验不是可选项，而是部署前必须完成的“第一道安检”。
确认官方校验值来源可信
不能只看网页上写的哈希值，必须从官方主域名下获取原始校验材料：
- JetBrains 类工具：点击官网下载页的 Download 后，手动在 URL 末尾追加 /checksums/（如
https://download.jetbrains.com/idea/ideaIU-2024.2.1.exe.checksums），该路径由主站 HTTPS 托管，镜像站同名文件不可信 - VMware：仅认
packages.vmware.com或vmware.com域下的SHA256SUMS文件及配套.gpg签名 - Azure DevOps Server：校验值只在微软官方文档页提供，不通过镜像分发；对应补丁包的 SHA256 值已明确列出，例如
devopsserverpatch6.exe是F2C270BCD52595DB19083BE79A769BC7ECBDB121D530797EF49203A5A02BAF75 - Linux 发行版 ISO：优先使用官网提供的
SHA256SUMS+SHA256SUMS.gpg组合，而非第三方博客或论坛转录的哈希字符串
执行本地 SHA256 计算并比对
不同系统用原生工具，避免依赖第三方脚本：
-
Linux/macOS：用
sha256sum -c SHA256SUMS 2>&1 | grep "OK"（前提是SHA256SUMS文件格式规范，含文件名和哈希空格分隔）；若只有单个哈希值，用sha256sum your-file.zip | awk '{print $1}'提取结果再人工比对 -
Windows PowerShell：运行
Get-FileHash -Algorithm SHA256 "C:\path\to\file.exe" | Format-List，复制输出的Hash字段与官方值逐字符核对（注意全大写、无空格） -
Windows CMD：用自带
certutil -hashfile file.exe SHA256，结果中 “Hash computed:” 后的 64 位字符串即为校验值
升级到 GPG 双重验证（高安全场景必需）
仅比对 SHA256 能防传输损坏，但无法抵御 CDN 缓存污染或镜像站篡改。真正防供应链攻击需验证签名：
- 先导入官方公钥：
gpg --receive-keys 0x29B8E74F3D37A9C4（JetBrains）或 VMware 公钥（需从官网证书页下载） - 下载配套签名文件（如
.asc或.gpg），运行gpg --verify file.zip.asc file.zip - 输出必须含 Good signature 且显示密钥指纹与官网公布一致；若提示
NO_PUBKEY或UNKNOWN TRUST，说明验证未通过，不可继续安装 - 注意顺序：必须先验签成功，再执行哈希校验——跳过 GPG 验证的 SHA256 比对，在高级威胁面前形同虚设
自动化集成建议
在 CI/CD 或运维脚本中嵌入校验逻辑，杜绝人为遗漏：
- 用
curl -f -L下载时加-f参数确保失败退出，避免静默下载空文件 - 校验失败时立即
exit 1中断流程，不进入解压或安装阶段 - Go 语言实现推荐用
crypto/sha256流式读取，缓冲区设为32KB，避免大文件 OOM；对比哈希用bytes.Equal(sum1[:], sum2[:])，不用字符串比较 - 校验前检查文件大小：
os.Stat().Size() == 0应直接报错——空文件有确定哈希值，但业务上毫无意义
