将SHA512的256位设为零是否等价于SHA256？二者有何相似性？

为什么二者不等同 #

• 初始哈希值差异：SHA256的初始IV（初始向量）是基于前8个素数的平方根小数部分截取前32位得到的32位字；SHA512的初始IV则是前8个素数的立方根小数部分截取前64位得到的64位字。哪怕把SHA512结果的高位256位设为0，其低位的初始来源和SHA256完全不同，从第一步就注定了输出不会一致。
• 运算位宽与压缩函数差异：SHA256全程用32位字进行加法、移位、逻辑运算；SHA512用的是64位字。两者压缩函数的轮次操作（比如循环移位的位数、模加法的模数）都是针对各自位宽设计的，中间计算路径完全独立，就算截断结果，也只是表面长度相同，内在的哈希值分布没有关联。
• 消息扩展逻辑不同：SHA256把输入消息分成512位块，再扩展成64个32位字用于压缩；SHA512则是1024位块，扩展成80个64位字。扩展过程中使用的常量、移位规则都不一样，相同的输入消息在两个算法里会被处理成完全不同的扩展字序列，最终输出自然不同。
• 注意：即使是标准SHA512/256也不等于SHA256：你提到的“设256位为零”和官方的SHA512/256（取SHA512结果的低256位）不是一回事，但哪怕是SHA512/256，也和SHA256输出不同，核心原因还是压缩函数和消息处理逻辑的差异。

二者的相似性 #

• 同属SHA-2家族，核心架构一致：两者都基于Merkle-Damgård结构构建，压缩函数都是多轮次的非线性变换组合，整体设计思路同源。
• 安全属性一致：在当前密码学安全假设下，两者都具备抗碰撞性、抗原像性、抗第二原像性，都是符合密码学安全标准的哈希函数。
• 基础操作逻辑同源：轮函数中的核心操作（比如Ch、Maj函数）的逻辑是一致的，只是针对32位/64位字做了适配；使用的常量都来自素数的根（平方根/立方根），生成逻辑类似。

内容的提问来源于stack exchange，提问作者ish