SHA哈希函数原理

可视化演示

哈希函数将任意长度输入映射为固定长度摘要，SHA-2与SHA-3是主流标准。本文详解Merkle-Damgar... 切换模式查看不同维度。

哈希函数概述

回到那间后厨。你的料理机有个神奇属性：它不看食材贵贱，一根葱和一整头牛进去，出来的丸子不仅大小一样，味道也完全无法预测——你没法从丸子的味道反推“这到底是不是牛肉”。更妙的是，只要食材里掺了一粒沙子，出来的丸子就会彻底变味。这台机器就是哈希函数 H，丸子就是摘要 h。

哈希函数的正式定义可以浓缩成一句话：把任意长度的二进制输入，映射为一个固定长度的二进制输出。SHA-256 名字里的 256，指的就是输出恒为 256 位（32 字节）。无论你哈希一个字符还是一部 4K 电影，结果都是 32 字节。这个“固定长度”是一切工程价值的起点——它让复杂度不同的东西有了可比较、可存储的“数字指纹”。

除了定长输出，哈希函数还须满足三个工程特性：确定性（同一输入永远同一输出）、单向性（由摘要反推输入在计算上不可行）、雪崩效应（输入翻转 1 位，输出约一半比特翻转）。正式地，SHA-256 定义了一个从全体二进制串到 256 位空间的映射：

所以，一张照片、一段音频、一份合同，进了这台料理机，出来的都是 32 字节的浓缩精华丸。后面你会发现，所有关于 SHA 的秘密——它怎么消化大块头、怎么防伪造、怎么在几毫秒内从天量输入里给出一颗独一无二的丸子——都藏在这台机器的内部构造里。

Merkle-Damgard结构

料理机虽强，胃口却有限——它一次只能吞下一小碗（512 位）。面对整头牛怎么办？大厨的答案是流水线：先把牛肉切成标准大小的薄片（分块），然后一片一片喂。关键诀窍是：上一片榨出的“高汤”绝不倒掉，而是和下一片一起下锅。这样每一片都背负着前面所有片的味道，最后的高汤浓缩了整头牛的精髓。

这就是 Merkle-Damgard（MD）结构，SHA-1 和 SHA-2 家族的共同骨架。它分三步：填充（padding）、分块、迭代压缩。填充规则很讲究：消息末尾先补一个 1，再补 0，直到长度对 512 取模等于 448，最后 64 位用大端序写入原始消息的比特长度。这 64 位“长度支票”是防止歧义的关键——它让“1“和”10”这样的消息在填充后绝不会撞车。

填充完成后，消息被切成 k 个 512 位块 M1..Mk。迭代从初始向量 IV 出发，每一步都把上一块的摘要（即链接值）和当前消息块一起喂给压缩函数 f，像接力一样跑完整个链条：

流水线结构优雅，却留下一个隐患：摘要只依赖“最后状态”，不记录消息总长。就像接力的高汤不贴标签，别人若知道汤味和熬制锅数，就能在你不知情时“续熬”出后续的汤——这就是后文要讲的长度扩展攻击。也正因如此，2015 年标准委员会决定给厨房换一台全新设备：海绵。

SHA-256算法

现在把料理机的“搅拌程序”拆开。SHA-256 的压缩函数 f 堪称一部精密食谱：桌面上摆着 8 个碗（工作寄存器 a~h，各装 32 位），旁边是 64 罐“秘制香料”（轮常量 K_t），还有一套“提炼工序”——消息调度。16 块基础食材（16 个 32 位字）在工序中提炼成 64 份调味汁 W_t，每轮取一份下锅。

这些常数的来历很有意思：IV 取自前 8 个素数的平方根小数部分，K_t 取自前 64 个素数的立方根小数部分。素数开方的小数毫无规律，相当于把“随机性”钉死进机器里，防止设计者藏后门。先看提炼工序：对 t 从 16 到 63，每个调度字由四个旧字混合而成：

正式搅拌时，每轮把当前调度字和香料加入两个非线性混合函数。左侧的 Ch 是“选择函数”：e 当裁判，e 为 1 取 f，e 为 0 取 g；Maj 是“多数函数”：a、b、c 三票取多数。两者的输出再与旋转混合，构成一轮的核心：

64 轮搅拌下来，8 个寄存器里装满了整块消息的“味道”，任何一丁点食材差异都会在轮与轮之间被 Ch、Maj 和旋转操作反复放大，最终体现在约一半的输出比特上。这就是为什么我们的精华丸如此敏感——不是机器刁钻，而是配方设计得滴水不漏。

SHA-3海绵构造

2015 年，厨房迎来新设备：一块魔法海绵。它的哲学与流水线截然不同——不切块、不接力，而是先把所有食材汤汁一口气“吸”进海绵里，再由厨师用力一挤，挤出想要的分量。吸多少由胃口定，挤多少由需求定，灵活又干净。

这就是海绵构造（sponge construction），SHA-3（Keccak）的核心。海绵的状态是一个 1600 位的矩阵，分成顶部 r 位（海绵头，rate）和底部 c 位（海绵肚，capacity）。参数 c 是安全性的命门：c 越大越安全，但速度越慢。以 SHA3-256 为例，r=1088，c=512，输出 256 位。

处理分两阶段。吸收阶段：把填充后的消息切成 r 位小块，每块先与海绵头的当前值异或，再对整个状态施加 Keccak-f 置换。挤压阶段：反复取海绵头 r 位作为输出，每取一次再跑一次置换，直到凑够摘要长度。形式化写就是：

Keccak-f 本身也是“配方”：状态被排成 5×5 的 lane 矩阵，每 lane 64 位，共 1600 位。每一轮依次做五种运算：θ（列间线性混合）、ρ（每 lane 循环移位）、π（lane 位置重排）、χ（唯一非线性步骤，行内用非门与异或打乱）、ι（异或轮常量）。24 轮下来，状态里每一个比特都间接依赖了全部输入。

海绵有个流水线羡慕不来的优点：它天然免疫长度扩展攻击——因为摘要不仅由最后状态决定，还和挤压的次数（即输出长度）绑定。就像挤海绵，挤出的每一滴都是“现挤现装”，不存在“续杯”的后门。这也解释了为什么 SHA-3 能和 SHA-2 长期并存：不是更好，而是另一种同样可靠的安全哲学。

安全特性

精华丸为什么值得信赖？因为料理机给了它三重保险。第一重：任何人拿到丸子都无法还原食材（抗原像）；第二重：给你一块食材，你无法做出另一块味道一模一样的（抗第二原像）；第三重：你无法找到两块不同食材打出同味丸子（抗碰撞）。这三条就是哈希函数安全的基石。

三者的难度天差地别。抗原像是最强的承诺：n 位摘要意味着要暴力尝试 2^n 次才能反推。抗碰撞则因“生日悖论”而脆弱得多：在 365 个生日里找两个同生日的人，只需 23 人；在 2^n 个摘要里找一对碰撞，只需约 2^(n/2) 次尝试。这就是为什么 SHA-256 的碰撞界是 2^128，而不是 2^256：

第三重保障藏在雪崩效应里。哈希设计有一条黄金法则：输入翻转 1 位，输出应有一半比特翻转。这不是玄学，而是压缩函数里旋转、异或、非线性替换层层放大的结果。你的文件在传输中哪怕损坏了 1 个字节，校验时摘要都会面目全非——这让我们能快速、可靠地发现篡改。

三重保险各司其职：抗原像保护“食材秘方”（口令不能反推），抗碰撞保护“身份唯一”（合同不能抵赖），雪崩保护“内容完整”（篡改必现形）。理解了这三重保险，你就理解了为什么整个互联网——从 HTTPS 证书到区块链——都把信任押在这样一颗小小丸子上。

常见攻击

有保险就有贼。窃贼偷丸子的手段，恰好暴露了哈希算法的软肋。第一种叫生日攻击：贼不偷你的丸子，而是自己批量生产“假食材”，利用生日悖论守株待兔，等着两颗丸子意外相撞——一旦撞上，他就能用假食材骗过校验系统。

生日攻击是把双刃剑：它既是最经典的破解思路，也是密码学家设定安全参数时的“尺子”。对 n 位摘要，碰撞成本约为 2^(n/2)，所以 SHA-256 定在 128 位安全级别；而老旧的 MD5 只有 128 位摘要，碰撞成本 2^64——早在上世纪就被攻破。

第二种叫长度扩展攻击：MD 结构的摘要就是“最后一口高汤”。贼只要知道 H(m) 和消息长度，就能在不知道 m 的情况下计算出 H(m ‖ padding ‖ 附加数据)——相当于偷喝了高汤还悄悄续炖了一锅。修复办法有两个：要么用 SHA-3 海绵，要么用 HMAC 把密钥包在哈希外面。第三种是历史教训：SHA-1 的 160 位摘要被 Google 用 SHAttered 攻击在约 2^63 次内找到真实碰撞，2017 年正式退役——这说明“结构相同只是短一点”的想法有多危险。

回顾这几种偷丸子的姿势，你会发现安全不是“够长就行”：结构缺陷（MD 的续炖后门）、参数不足（MD5/SHA-1）、概率杠杆（生日悖论），每一个都在提醒我们——料理机的配方需要不断更新，而 SHA-3 正是这场攻防战的当代答案。

工程应用

精华丸最终要端上桌，它在后厨有四个高频用途。第一，存口令：餐厅不保存顾客的“口味档案”原文，只存“口味丸子”。用户登录时现榨一颗，对得上就放行——即使数据库被拖库，贼拿到的也只是一堆无法还原的丸子。

第二，验完整性：下载大文件后比对 sha256sum，像验货时掂一掂丸子的重量；CDN 缓存、容器镜像、AI 模型权重，全都靠这颗丸子防篡改。第三，数字签名：先给消息榨丸子，再给丸子盖私钥章——签名的是“摘要”而非整个消息，省时省力又合法。第四，Merkle 树：把海量数据的丸子两两配对上榨，层层聚合出一棵“丸子树”，树根就是整批数据的总指纹：

工程上还有两个讲究。一是防彩虹表：直接存 SHA-256(m) 等于把丸子和食材一一对应写进字典，所以口令存储要用“盐 + 慢哈希”（如 bcrypt、argon2）——盐让字典失效，慢让暴力变慢。二是警惕“快速哈希”：SHA-256 快是优点也是缺点，对攻击者同样是加速器，所以安全场景从不只靠裸哈希。

从一根葱到一颗丸子，从流水线到魔法海绵，SHA 的旅程其实是一道朴素的生活题：如何在不可信的世界里快速建立“不可抵赖、不可篡改、不可还原”的信任。你后厨里的那台料理机，正是现代数字世界的信任地基——现在，你已经知道它每一颗齿轮是如何转动的了。

AI 应用场景

Python 演示

import hashlibimport struct  def md_pad(msg):    """SHA-256 填充, 遵循 Merkle-Damgard 规范."""    m = bytearray(msg)    bit_len = len(m) * 8    m.append(0x80)    while len(m) % 64 != 56:        m.append(0)    m += struct.pack(">Q", bit_len)    return bytes(m)  def chain_digest(msg):    """用真实 SHA-256 模拟 MD 迭代, 观察链接值传递."""    blocks = md_pad(msg)    h = b"\x00" * 32    for i in range(0, len(blocks), 64):        h = hashlib.sha256(h + blocks[i:i + 64]).digest()    return h.hex()  def diff_bits(a, b):    return sum(bin(x ^ y).count("1") for x, y in zip(a, b))  def birthday_collision(bits, limit=200000):    """生日攻击演示: 在截断 bits 位摘要中找碰撞."""    seen = {}    mask = (1 << bits) - 1    for i in range(limit):        m = str(i).encode()        h = int.from_bytes(hashlib.sha256(m).digest()[:4], "big") & mask        if h in seen and seen[h] != m:            return seen[h], m        seen[h] = m    return None  if __name__ == "__main__":    msg = b"The secret recipe is love"    flipped = bytearray(msg)    flipped[0] ^= 1    print("原文摘要 :", hashlib.sha256(msg).hexdigest())    print("翻转1位  :", hashlib.sha256(bytes(flipped)).hexdigest())    print("雪崩差异 :", diff_bits(hashlib.sha256(msg).digest(),                                  hashlib.sha256(bytes(flipped)).digest()), "/ 256")    print("MD分块   :", len(md_pad(msg)) // 64, "块")    print("链接链   :", chain_digest(msg))    hit = birthday_collision(16)    print("16位碰撞 :", hit)

1. m.append(0x80)补 1 位作为消息结束标记，对应“食材切块的收尾刀”。
2. while len(m) % 64 != 56:补 0 直到距块边界差 8 字节，留出长度字段的位置。
3. m += struct.pack(">Q", bit_len)用大端序写入 64 位原始长度，这是防歧义的“长度支票”。
4. h = hashlib.sha256(h + blocks[i:i + 64]).digest()上一块的摘要与当前块拼接后再次哈希，模拟链接值接力。
5. flipped[0] ^= 1翻转第一个字节的最低比特，制造“一颗沙子的差异”。
6. bin(x ^ y).count("1")统计两个摘要的差异比特数，验证雪崩效应。
7. mask = (1 << bits) - 1构造截断掩码，把 256 位摘要缩到 bits 位小空间。
8. if h in seen and seen[h] != m:命中“两食材同丸子”的碰撞判定。

常见误区

面试题