Azure Blob存储下载文件完整性校验：合规替代MD5的方案咨询

一、CRC64校验和方案（重点推荐） #

Azure Blob存储支持CRC64校验和，虽不在blob.Properties内置属性中，但可通过两种方式实现校验：

方式1：自定义元数据存储CRC64（兼容所有Blob类型） #

上传Blob时计算文件CRC64值，存入自定义元数据，下载时读取比对：

// 上传阶段：计算CRC64并写入元数据
string localFilePath = "<本地文件路径>";
string crc64Hash = HashGenerator.ComputeCRC64(localFilePath);

BlobClient blobClient = new BlobClient(connectionString, containerName, blobName);
using FileStream uploadStream = File.OpenRead(localFilePath);
var uploadOptions = new BlobUploadOptions
{
    Metadata = { { "crc64", crc64Hash } }
};
await blobClient.UploadAsync(uploadStream, uploadOptions);

// 下载阶段：读取元数据并校验
BlobClient blobClient = new BlobClient(connectionString, containerName, blobName);
BlobProperties properties = await blobClient.GetPropertiesAsync();
string hashFromXstore = properties.Metadata["crc64"];

string localHash = HashGenerator.ComputeCRC64("<本地保存路径>");

if (hashFromXstore != localHash)
{
    throw new Exception("下载文件的CRC64校验不通过");
}

方式2：利用Azure内置CRC64响应头（仅块Blob） #

下载块Blob时，Azure会自动返回服务端计算的CRC64值（响应头x-ms-blob-crc64），可直接获取比对，无需提前存储元数据：

// 下载时直接获取服务端CRC64并校验
BlobClient blobClient = new BlobClient(connectionString, containerName, blobName);
BlobDownloadInfo downloadInfo = await blobClient.DownloadAsync();
string serverCrc64 = downloadInfo.Details.Crc64.ToString();

string localCrc64 = HashGenerator.ComputeCRC64("<本地保存路径>");

if (serverCrc64 != localCrc64)
{
    throw new Exception("下载文件与服务端CRC64不匹配");
}

注意：该内置CRC64仅对块Blob生效，页Blob、追加Blob不支持。

二、SHA系列哈希算法替代方案 #

若需更高安全性，可采用SHA-256/SHA-512等合规哈希算法，逻辑与原MD5校验一致，仅替换算法类型：

上传时存储SHA哈希到元数据 #

string localFilePath = "<本地文件路径>";
string sha256Hash = HashGenerator.ComputeSHA256(localFilePath);

BlobClient blobClient = new BlobClient(connectionString, containerName, blobName);
using FileStream uploadStream = File.OpenRead(localFilePath);
var uploadOptions = new BlobUploadOptions
{
    Metadata = { { "sha256", sha256Hash } }
};
await blobClient.UploadAsync(uploadStream, uploadOptions);

下载时校验SHA哈希 #

BlobClient blobClient = new BlobClient(connectionString, containerName, blobName);
BlobProperties properties = await blobClient.GetPropertiesAsync();
string hashFromXstore = properties.Metadata["sha256"];

string localHash = HashGenerator.ComputeSHA256("<本地保存路径>");

if (hashFromXstore != localHash)
{
    throw new Exception("下载文件的SHA256校验不通过");
}

三、方案选型建议 #

• CRC64：计算速度快、占用空间小（仅8字节），适合大文件快速校验，优先推荐使用Azure内置响应头的方式，减少开发工作量。
• SHA-256/SHA-512：安全性更高，符合严格合规要求，但计算速度慢于CRC64，适合对数据安全等级要求极高的场景。

内容的提问来源于stack exchange，提问作者sunny reddy