验证 Linux ISO 完整性需先校验 SHA256 哈希值（防损坏），再验证 GPG 签名（防篡改）；二者缺一不可，任一失败须重下。
验证 Linux 系统安装镜像（如 ISO 文件）的完整性，核心是确认你下载的文件没被损坏、也没被篡改。实际操作分两步：校验哈希值（完整性） + 验证 GPG 签名（真实性）。只做第一步能防误传，但防不住恶意替换；第二步才是真正可信的关键。
校验 SHA256 哈希值（推荐首选）
SHA256 是当前主流标准，比 MD5 更安全、抗碰撞能力强。几乎所有发行版（Ubuntu、Fedora、Debian、CentOS Stream、Kali、RHEL 等）都提供 .sha256 或 .sha256sum 文件。
- 下载镜像的同时，务必一并下载官方发布的校验文件（例如
kali-linux-2026.3-installer-amd64.iso对应kali-linux-2026.3-installer-amd64.iso.sha256） - 在终端中执行：
sha256sum -c kali-linux-2026.3-installer-amd64.iso.sha256
- 如果输出含
OK（如kali-linux-2026.3-installer-amd64.iso: OK），说明哈希一致；若显示FAILED，则文件异常，不要使用。
⚠️ 注意事项：
- 校验文件必须和 ISO 在同一目录下
- 若提示
No such file，检查校验文件里写的路径是否与当前 ISO 文件名完全一致（大小写、空格、扩展名都不能错） - Windows 下生成的校验文件可能含 CRLF 换行符，Linux 下会校验失败，可用
dos2unix filename.sha256修复
验证 GPG 签名（确认来源可信）
GPG 验证能证明该镜像确实由发行方签署，未被中间人或镜像站篡改。这是高安全场景（如生产部署、红队环境）的必备步骤。
- 先导入发行方公钥（以 Ubuntu 为例）：
gpg --keyserver keyserver.ubuntu.com --recv-keys 0x871920D1991BC93C
- 下载对应的签名文件（通常是
.iso.asc或.iso.gpg，例如kali-linux-2026.3-installer-amd64.iso.asc） - 执行验证：
gpg --verify kali-linux-2026.3-installer-amd64.iso.asc kali-linux-2026.3-installer-amd64.iso
- 成功时会显示
Good signature from "Kali Linux Repository <devel>"</devel>，且密钥需标记为trusted（首次可手动信任）
✅ 小技巧：很多发行版（如 Fedora、RHEL）会在官网校验页直接给出完整命令，复制粘贴即可；Kali 和 Ubuntu 还提供 sha256sum 单行校验字符串，可直接用：
echo "a948904f2f0f479b8f8197694b30184b0d2ed1c1cd2a1ec0fb85d299a192a0b0 *kali-linux-2026.3-installer-amd64.iso" | sha256sum -c
快速自查清单（下载后必做）
- ✅ 是否从官网或已知可信镜像站下载（如 mirrors.tuna.tsinghua.edu.cn、mirrors.ustc.edu.cn）？
- ✅ 是否同时下载了
.sha256和.asc文件？ - ✅
sha256sum -c输出是否全为OK？ - ✅
gpg --verify是否显示Good signature且密钥已信任？ - ❌ 如果任一环节失败，立即删除 ISO，重新下载并重试——不跳过、不忽略警告。
不复杂但容易忽略。
