校验和能验证什么、不能验证什么
哈希值根据文件字节计算。使用相同算法与可信的预期值比较，并将内容检查和发送者验证分开。
要点
字节一致、文件齐全、内容正确和来源可信，需要分别检查。
明确比较对象
记录文件版本和算法。SHA-256等密码学哈希值一致是字节相同的强有力依据；文件名、位置和外部时间属性需另行检查。
还要检查文件清单
单个哈希值无法检查遗漏的sidecar或外部数据。列出必需文件及对应值，核对缺失和多余项。换行或重新压缩可能改变哈希值；语义等价需另行验证。
不能证明来源或安全
攻击者若同时替换文件和预期值，比较仍可能通过。另行验证预期值来源及必要的签名。一致不证明测量正确、原件齐全或不存在恶意软件。保留原件并调查不一致原因。