SHA-256 雜湊產生器－文字、檔案、HMAC 與校驗

§ 01

如何產生與驗證 SHA-256

1

選擇輸入類型

文字用於字串摘要，檔案用於下載校驗，HMAC 用於帶共用金鑰的訊息驗證。

2

讀取摘要

一次計算即可得到小寫 Hex、大寫 Hex、Base64 與 Base64URL。

3

視需要比對

將可信來源提供的 64 位十六進位校驗值貼入欄位，頁面會立即比較且不區分大小寫。

§ 02

摘要用於完整性，不用於隱藏內容

SHA-256 將任意長度輸入映射成固定 256 bit 摘要，只改變一個位元組也會產生大幅不同的結果，因此適合檔案校驗、內容定址與數位簽章流程。

摘要不提供機密性。相同輸入任何人都能算出相同結果；要驗證共用金鑰使用 HMAC，要隱藏內容則使用經審查的加密方案。

§ 03

常見雜湊用途比較

方案

用途

建議

SHA-256

檔案與內容完整性

現代通用摘要

HMAC-SHA256

帶金鑰的訊息驗證

API 簽章與 Webhook 驗證

MD5

舊校驗相容

不適用安全場景

密碼雜湊

使用者密碼儲存

使用 Argon2id、scrypt 或 bcrypt

§ 04

在程式碼中計算 SHA-256

const bytes = new TextEncoder().encode('hello');
const digest = await crypto.subtle.digest('SHA-256', bytes);

§ 05

常見問題

Q1SHA-256 是加密嗎？

不是。SHA-256 是單向雜湊函式，輸出固定 256 bit 摘要，不能用金鑰解密回原文。

Q2可以直接用 SHA-256 儲存密碼嗎？

不建議。密碼應使用帶 salt 且成本可調的 Argon2id、scrypt 或 bcrypt，以抵抗高速猜測。

Q3普通雜湊和 HMAC-SHA256 有什麼不同？

普通雜湊只依賴訊息；HMAC 還需要共用金鑰，可驗證訊息完整性與金鑰持有者。

Q4為什麼檔案摘要可以驗證下載？

相同位元組會產生相同摘要。將本機結果與可信發布者提供的校驗值比較，可以發現損壞或替換。

Q5檔案會上傳嗎？

不會。瀏覽器 File API 讀取位元組，Web Crypto 在本機記憶體計算，不會請求伺服器。

SHA-256 雜湊產生器

輸入內容

SHA-256 摘要