计算Base64编码文件哈希：先解码还是直接计算？

直接计算Base64编码后哈希 vs 先解码再计算哈希的区别 #

两者的哈希结果完全不同。哈希函数是对输入的字节流逐位计算的，Base64编码后的内容是原二进制文件的ASCII字符表示，和原文件的字节序列完全不是一回事——比如原文件里的一个字节0xFF，Base64编码后会变成两个字符"/w"，对应的字节是0x2F和0x77，输入哈希函数的字节流不一样，结果自然不同。

最佳实践 #

• 优先计算原文件（解码后）的哈希：这是最可靠的完整性校验方式。接收方最终需要的是原文件，校验原文件的哈希能直接确保文件内容没有被篡改，同时还能间接验证Base64编码/解码过程是否正确——如果解码后的文件哈希匹配，说明编码和解码都没有出错。
• 若必须计算Base64编码后的哈希，需严格约定编码规则：双方必须统一Base64的所有细节，包括是否添加换行符、使用标准Base64还是URL安全的变体、是否保留末尾的填充符=。任何一点差异都会导致编码后的字节内容不同，哈希值也就无法匹配。

额外注意 #

如果只校验Base64编码后的哈希，只能保证Base64字符串本身在传输中没被篡改，但无法确保编码后的内容对应正确的原文件——比如发送方编码时出现错误，但哈希是对错误的Base64串计算的，接收方校验通过后解码得到的依然是错误文件。而校验原文件哈希则能避免这种情况。

内容的提问来源于stack exchange，提问作者MrSman