如何在Mac上自动校验文件SHA-256哈希值？含zsh与bash两种实现

不管是本地zsh环境还是CI的bash环境，核心都是生成目标文件的SHA-256哈希并与已知值对比，以下是两种环境下的具体实现方案：

一、本地zsh环境实现 #

可以直接写一个可执行脚本，或者在终端中直接运行以下逻辑：

# 替换为你的已知哈希值和文件路径
KNOWN_HASH="替换为你实际的SHA-256哈希值"
TARGET_FILE="/path/to/your/target/file"

# 提取文件的SHA-256哈希（仅保留哈希字符串）
GENERATED_HASH=$(shasum -a 256 "$TARGET_FILE" | awk '{print $1}')

# 对比哈希并输出结果
if [ "$GENERATED_HASH" = "$KNOWN_HASH" ]; then
    echo "✅ 哈希校验通过：文件完整未篡改"
    exit 0
else
    echo "❌ 哈希校验失败：文件可能已被修改"
    echo "已知哈希: $KNOWN_HASH"
    echo "实际生成哈希: $GENERATED_HASH"
    exit 1
fi

简化方案：用shasum自带校验功能 #

如果你提前把已知哈希和文件名存成.sha256文件（格式为哈希值 文件名），可以直接用shasum的校验命令，zsh下直接运行：

# 假设你有一个file.sha256文件，内容为 "abcdef... targetfile"
shasum -a 256 -c file.sha256

校验通过会输出targetfile: OK，失败则输出错误信息并返回非0退出码。

二、CI bash环境实现 #

CI环境中通常需要更简洁的输出和适配自动化流程，推荐用环境变量传递已知哈希（避免硬编码），脚本如下：

# 从CI环境变量读取已知哈希（比如GitHub Actions的secrets、GitLab CI的变量）
KNOWN_HASH="${CI_KNOWN_SHA256}"
TARGET_FILE="你的目标文件名（注意路径要正确）"

# 生成并提取哈希值
GENERATED_HASH=$(shasum -a 256 "$TARGET_FILE" | cut -d' ' -f1)

# 校验逻辑
if [ "$GENERATED_HASH" = "$KNOWN_HASH" ]; then
    echo "SHA-256校验通过"
    exit 0
else
    echo "SHA-256校验失败！"
    echo "预期哈希: $KNOWN_HASH"
    echo "实际哈希: $GENERATED_HASH"
    exit 1
fi

CI中更高效的方式 #

同样可以使用shasum的自带校验功能，提前在CI流程中生成或上传.sha256文件，然后运行：

shasum -a 256 -c file.sha256

CI系统会自动识别命令的退出码，非0则标记流程失败，无需额外判断逻辑。

内容的提问来源于stack exchange，提问作者Iiro Alhonen