下载的素材先哈希验证：安全

团队经常从各种渠道下载图片包、字体、素材压缩包，来源杂就难免碰到被改过或夹带奇怪文件的版本。直接解压使用风险不小，尤其来历不明的包。

我的习惯是下载完先在本地哈希工具里算一遍 MD5 或 SHA256，再和发布方公布的校验值比对。对不上就当作废处理，不往项目里放。整个过程不联网、不上传文件，纯粹本机计算。

大一点的素材包我还会分卷算，避免单个文件太大时漏检。团队内部共享时也附上各自算的哈希，谁拿到都能自己验证一遍，形成不用互信也能互验的小闭环。

哈希验证看着多一步，其实能省掉后面中招的大麻烦。把它当成下载后的固定动作，比等出问题再溯源省心得多，也符合我们一贯把敏感操作留在本地的思路。

顺便说一句，哈希只能证明你拿到的文件和源文件一致，不能证明内容本身没问题。来源本身不可信的话，再怎么对哈希也没用，这一步拦的是传输环节被动手脚。