如何无需下载源码获取Go包的SHA-512或同类哈希值（用于SBOM生成）

我来帮你搞定SBOM生成场景下的Go包哈希获取问题——不用下载源码完全可以做到，下面以encoding/json为例，给你具体的实操方法：

方法1：用Go内置的模块校验和数据库（SumDB） #

Go默认启用了SumDB（sum.golang.org），它存着所有公开Go模块的校验和信息。你直接在终端跑这条命令就能拿到详细数据：

go list -m -json encoding/json@latest

返回的JSON结果里，Sum字段就是该版本包的校验和（格式是h1:<哈希串>，这个是SHA-256格式的）。如果你的SBOM需要SHA-512，别急，看下面的方法。

方法2：通过Go模块代理直接拿SHA-512哈希 #

Go的官方模块代理提供了不用下载源码就能获取哈希的接口，特别适合你的需求：

步骤1：确定模块信息 #

encoding/json属于Go标准库，它的模块路径是std，版本号和你使用的Go版本一一对应（比如你用Go 1.21，版本就是v1.21.0）。如果是第三方包，模块路径就是它的导入路径，版本号可以用latest或者具体版本号。

步骤2：请求哈希信息 #

直接用curl请求代理的响应头，就能拿到包含SHA-512的哈希值：

curl -s -I https://proxy.golang.org/std/@v/v1.21.0.zip | grep -i 'x-go-hash'

返回的结果会是类似这样的：

x-go-hash: sha256=abcdef...,sha512=123456...

直接提取sha512=后面的字符串就是你要的哈希值了！这个方法完全不用下载源码包，只需要请求响应头就行，效率很高。

小提示 #

• 如果你的网络访问不了官方代理，可以换成国内的Go模块代理，把命令里的代理域名替换成对应的就行。
• 对于第三方包，比如github.com/google/uuid，只需要把模块路径和版本号换成对应的，比如：

  curl -s -I https://proxy.golang.org/github.com/google/uuid/@v/v1.3.0.zip | grep -i 'x-go-hash'
  

内容的提问来源于stack exchange，提问作者Jorge Ribeiro