哈希校验下载文件：改没改一目了然

下载外部工具、插件或者别人传的压缩包，最怕的一件事就是文件被偷梁换柱。尤其做跨境，经常要从第三方服务商那儿拿安装包，中间经过多少手根本说不清。

哈希校验就是给文件算一串指纹。同一个文件，谁算结果都一样；只要内容动过一个字节，指纹就完全变了。拿官方公布的哈希值一比，改没改立刻见分晓，不用猜。

操作不复杂：下载完成后，用哈希生成（本地）工具对文件算一下，生成 MD5、SHA-1 或者 SHA-256，再去对照发布页公布的哈希值。两个一样，基本可以放心用。

关键点是整个过程在浏览器本地跑，文件不用上传，算法在你机器上执行。密钥、订单数据压缩包这类敏感文件，也不会经过别人的服务器，这点在做跨境时尤其重要。

养成拿到外部文件先验哈希的习惯：安装软件、解压数据、传递资料前花十几秒，能避开绝大多数被植入后门的情况。做这行，安全上的小动作省不得。