Python hashlib中usedforsecurity参数的作用是什么？

先解决你的核心困惑：这个参数到底是干嘛的？ #

你觉得MD5完全不安全却搞出个usedforsecurity参数，这名字确实容易误导人——但它的本质不是“判断算法是否安全”，而是让你明确告知Python：你用这个哈希算法的场景是不是安全相关的。

Python 3.9给所有hashlib哈希构造函数加了这个仅关键字参数，默认值为True。逻辑很简单：

• 设为True（默认）：Python会严格遵守系统/环境的安全规则，禁用那些被标记为“不安全”的算法（比如MD5、SHA-1）
• 设为False：相当于你给Python拍胸脯：“我知道这算法不安全，但我不是用它做加密、防篡改这类安全事儿，只是拿来做单向压缩或者非安全场景的标识”，这时候哪怕环境禁用了该算法，也能正常用。

1. 什么时候该用usedforsecurity=False？ #

只有当你满足两个条件时才需要手动设置：

• 你要用的算法（比如MD5、SHA-1）被当前环境禁用了
• 你的使用场景完全和安全无关，比如：
  • 本地文件的快速一致性校验（比如自己整理备份文件，确认两个文件内容一模一样，不需要防恶意篡改）
  • 哈希表、布隆过滤器里的哈希计算（只需要碰撞概率够低满足业务需求，不需要抗密码学攻击）
  • 把长字符串压缩成固定长度的标识（比如给一批文本生成唯一ID，不涉及安全验证）

2. 什么时候不该碰这个参数（或保持默认True）？ #

• 你的场景是安全相关的：比如存储用户密码、生成数字签名、下载文件后的官方防篡改校验，哪怕用的是SHA-256这类安全算法，也必须保持默认值，严格遵守安全限制
• 你不确定场景是否安全，或者用的是SHA-256、SHA-3这类公认安全的算法：直接用默认值就行，没必要手动设置

3. “受限环境”具体指什么？ #

就是系统或Python运行环境中，已经禁用了不安全哈希算法的场景：

• 企业级服务器的合规配置：比如为了符合PCI DSS等安全标准，禁用MD5、SHA-1这类已被破解的算法
• 安全强化的Python环境：比如通过hashlib.set_default_algorithm()指定了仅允许安全算法，或者系统依赖的加密库（如OpenSSL）配置了禁用不安全算法
• 容器、沙箱环境：为了降低攻击面，默认限制了不安全加密算法的使用

内容的提问来源于stack exchange，提问作者Passer By