Neatbo.

SHA256SUMS 与 JWT 签名：完整性检查能证明什么

区分文件哈希、JWT 签名与身份信任，核对 SHA256SUMS 的缺失和额外文件，并理解 HAR、robots 与 CSP 本地检查的边界。

Neatbo 编辑部更新于 约 8 分钟阅读

例子：接收一份文件包和访问令牌

一份发布包包含 PDF、数据导出和配置说明。发送者希望接收方确认文件在传输中没有变化。SHA256 清单能回答字节是否一致，却不能独立证明发送者身份，也不能证明内容安全或业务正确。这一区别决定预期清单应如何取得和保存。

分清字节一致与来源可信

对最终文件生成清单，并通过可信渠道保存。验证时同时查看三类异常：哈希不符、文件缺失和未列入清单的文件。改名不会改变内容摘要，却可能破坏按名称查找。单个文件显示通过，并不代表整份发布包已经通过。

分别检查文件、签名和配置

认证与网站配置也应区分检查层次。JWT 解码只展示结构，签名验证还需要可信密钥和固定算法，签发者、受众、时间则是另外的检查项。同样，离线 CSP 检查或 robots 规则测试能发现给定配置的问题，却不能证明上线后的浏览器或爬虫收到什么。

小样的判断依据
空文件 SHA-256 以 e3b0c442 开头；文件改名不改变内容字节，但清单查找仍要求名称精确一致。

保留检查条件与待确认事项

分享诊断报告前，还要检查报告本身。HAR 摘要省略查询值、请求头、Cookie 和正文，但 URL 路径仍可能标识客户或内部项目。示例不应使用凭据，完整指纹应通过独立来源比对。本地执行减少上传暴露，但不免除对复制、下载和分享内容的核对。

常见误判与替代检查
不能单凭应该补查
哈希一致确认预期清单来自可信渠道
JWT签名正确继续检查时间、签发者、受众和业务权限
本地规则通过确认线上实际响应与部署配置一致
  • 分别记录哈希不符、缺失和未列出的文件。
  • 不要把解码结果当作签名验证结果。
  • 分享HAR报告前再次检查URL路径。

参考资料

本文相关工具

Base64 编解码 →粘贴内容，一键编码或还原。URL 编解码 →把链接里看不懂的字符还原出来。HTML 实体转换 →把 HTML 实体和普通字符相互转换。Unicode 转义转换 →查看 Unicode 转义对应的文字。SHA-256 校验 →计算文本或文件的 SHA-256 校验值。查看并核验 JWT →查看完整 JWT 头部与声明，或使用自行提供的可信密钥验证 HS256 / RS256 签名。二维码生成 →把链接或文字，变成可以扫描的二维码。UTM 链接生成 →填好来源信息，生成完整的分享链接。Meta 标签生成 →填写页面信息，生成可复制的 Meta 标签。robots.txt 生成 →整理抓取规则，生成一份 robots.txt。Sitemap 生成 →粘贴页面网址，整理成 Sitemap XML。分享卡片预览 →粘贴 HTML 检查 Open Graph 标签，并预览分享卡片。URL 解析器 →拆解 URL 路径、按顺序排列的查询参数和 key=value 片段，不会打开链接。HMAC-SHA256 生成器 →用密钥计算 HMAC-SHA256，按十六进制、Base64 或 Base64URL 与已有签名核对。IPv4 子网与掩码计算 →计算 IPv4 子网边界和可用端点，或转换子网掩码与前缀。IP 范围转 CIDR →把包含两端地址的 IPv4 范围转为最少且精确覆盖的 CIDR 网段列表。合并 CIDR 网段 →缩短 IPv4 CIDR 列表，同时保持地址覆盖范围不变。IPv4 数字转换 →在点分地址、无符号整数和 32 位二进制之间转换单个 IPv4 地址。IPv6 展开与压缩 →将单个 IPv6 地址转换为标准压缩、完整八组及无冒号 32 位十六进制形式。IPv6 子网计算 →计算单个 IPv6 前缀的精确起点、终点和地址数。MAC 地址规范化 →在冒号、连字符、Cisco 点分与纯十六进制格式之间转换 MAC 地址，支持单字符及 Python 十六进制字节。IP 地址校验 →逐行校验 IPv4 或 IPv6 地址，并导出有效地址。IP 网段归属检查 →将 IP 地址列表与一个 IPv4 或 IPv6 CIDR 比对，并导出网段内地址。Base32 编解码 →将文本或任意文件编码为 RFC 4648 Base32，或解码还原原始字节。十六进制与文本转换 →将文本或文件字节编码为十六进制与同一字节的 Base64，或从纯十六进制还原精确字节。二进制与文本转换 →将 UTF-8 文本或文件字节编码为八位组或 MATLAB 数值行向量赋值语句，并可从位串还原精确字节。Quoted-printable 编解码 →将 MIME 正文编码为 Quoted-printable，或解码为精确字节与可读文字。SAML 响应检查 →在浏览器本地解码 SAML 2.0 响应，查看 SSO 状态、受众、接收方、NameID 和属性。随机密码生成 →按目标网站的长度和字符规则生成随机密码。随机口令短语生成 →使用 EFF 长词表生成六词以上的随机短语，适用于密码管理器主密码、磁盘加密或允许长密码的账户。SRI 完整性哈希 →用本地文件字节或 UTF-8 文本计算 SHA-256、SHA-384、SHA-512 SRI，并复制完整性值或 HTML 标签。HAR 请求分析报告 →本地分析 HAR 导出，列出全部失败请求并汇总状态类别和慢请求，不访问记录中的网址。robots.txt 规则测试 →粘贴或导入 robots.txt 规则，用目标 URL 与爬虫产品标识测试，显示允许结论、采用的规则组、最终命中规则和行号。Sitemap XML 检查 →粘贴或导入 Sitemap XML，检查命名空间、schemaLocation 配对、URL 结构、重复地址、域名一致性与常见可选字段。Nginx 精确路径重定向规则生成 →将 source,target CSV 转为精确路径的 Nginx location 与 return 规则，并检查重复来源及同站循环。CSP 策略检查 →检查粘贴的 CSP 策略中无效的来源表达式、重复指令、宽泛授权和缺失限制。SSH 公钥指纹 →从 OpenSSH RSA 或 Ed25519 公钥生成 SHA256 指纹，并检查公钥数据结构。文件校验清单 →批量生成 SHA256SUMS，或对照清单验证文件，列出缺失、变化和未列入清单的文件。