如何在内存中计算S3文件的SHA-256校验和（图片结果异常）

安全阿岳

2026-8-27

问题根因

两种错误写法的核心问题是对二进制文件做了字符串编码转换，破坏了原始字节序列：

用utf-8编码调用toString()时，PNG等二进制文件中存在大量不符合UTF-8编码规则的字节，转换时会被替换为特殊占位符，直接篡改原始内容。纯txt文件本身是UTF-8编码文本，所以转换不会出错，校验和能匹配。
换用binary（即latin1）编码调用toString()仍然不对：sha256.update()接收字符串参数时默认按UTF-8解析，依然会出现字节转换错误，结果必然和原始文件校验和不一致。

createReadStream()方式不会出错的原因是：它返回的是原始二进制字节流，全程不经过字符串编码转换，传给哈希函数的是和S3存储完全一致的原始字节，自然计算结果正确。流方式不仅不会写本地磁盘，处理大文件时还不需要把整个文件加载到内存，内存占用更低。

正确实现

方案1：小文件全量内存计算

直接使用S3返回的Buffer对象计算，不要做任何toString()转换：

const { createHash } = require('crypto');
const s3 = getS3();

const { Body } = await s3.getObject({ Bucket: bucketName, Key: fileName }).promise();
const hex = createHash('sha256').update(Body).digest('hex');
logger.info(`SHA256 HEX: ${hex}`);

S3 getObject().promise()返回的Body本身就是Buffer类型，直接传入哈希函数即可，全程内存操作，不会写入本地磁盘。

方案2：大文件流式计算

文件体积较大时，用流逐块计算哈希，避免占用过多内存，同样不落盘：

const { createHash } = require('crypto');
const { pipeline } = require('stream/promises');
const s3 = getS3();

const hash = createHash('sha256');
const s3Stream = s3.getObject({ Bucket: bucketName, Key: fileName }).createReadStream();
await pipeline(s3Stream, hash);
const hex = hash.digest('hex');
logger.info(`SHA256 HEX: ${hex}`);