thinkphp 部署后，可以用可信构建产物生成 sha-256 清单，再在服务器从项目根目录逐个核验。哈希不一致说明文件内容与基线不同，需要结合发布记录判断原因。

在可信构建目录生成哈希清单

下面命令用于 GNU/Linux，从干净构建产物根目录执行。清单放到项目目录之外的可信位置。

{
    find app config route -type f -print0
    printf '%s\0' public/index.php
} | sort -z | xargs -0 -r sha256sum > /srv/baselines/release.sha256

按项目实际目录调整范围。这里覆盖应用代码、配置模板、路由和入口文件，未纳入运行时缓存或环境密钥。

从部署目录校验内容和缺失文件

部署后进入站点项目根目录，使用与当前发布版本对应的可信清单。

btpanel phpsite 宝塔面板PHP网站

宝塔面板 PHP 网站管理：站点创建、删除、启停、PHP 版本切换、域名管理、SSL证书管理、伪静态管理、数据库管理

下载

立即学习“PHP免费学习笔记（深入）”；

sha256sum --check /srv/baselines/release.sha256

OK 表示文件与基线一致。FAILED 或文件缺失时，对照发布编号和本次变更。清单应由独立可信渠道保存。

另外检查不在基线里的新文件

校验旧清单只能验证已记录的路径。需要识别新增文件时，用同一条生成命令产出当前清单，再比较两份清单。

diff -u /srv/baselines/release.sha256 /tmp/current-release.sha256

比较前要确保两份清单使用相同路径和排序。新增文件、路径缺失和同路径哈希变化可以分别在差异中查看。