如何验证Google Guava中Hashing.sha256()生成的哈希值有效性

SHA-256是公开的标准化哈希算法，验证逻辑非常直接：对相同输入、相同字节编码，只要你的代码输出和其他可信实现的输出完全一致，就说明结果符合SHA-256规则，是合法正确的。
你可以选下面任意一种方式验证，结果都是可信的：

• 与JDK原生标准实现交叉校验
  JDK自带的MessageDigest实现经过了二十多年的生产环境验证，是完全可信的SHA-256实现，你可以写一段对照代码，固定相同输入、相同UTF-8编码，比对两边结果即可：

import java.nio.charset.StandardCharsets;
import java.security.MessageDigest;
import java.security.NoSuchAlgorithmException;

public class Sha256Check {
    // JDK原生SHA-256十六进制计算实现
    private static String jdkSha256(String input) throws NoSuchAlgorithmException {
        MessageDigest md = MessageDigest.getInstance("SHA-256");
        byte[] hashBytes = md.digest(input.getBytes(StandardCharsets.UTF_8));
        StringBuilder sb = new StringBuilder();
        for (byte b : hashBytes) {
            String hex = Integer.toHexString(0xff & b);
            if (hex.length() == 1) sb.append('0');
            sb.append(hex);
        }
        return sb.toString();
    }

    public static void main(String[] args) throws NoSuchAlgorithmException {
        // 替换成你实际使用的卡号测试值
        String testCardNum = "1234567890";
        // 你的Guava代码计算结果
        String guavaHash = com.google.common.hash.Hashing.sha256()
                .hashString(testCardNum, StandardCharsets.UTF_8)
                .toString();
        String jdkHash = jdkSha256(testCardNum);
        // 输出true即代表Guava计算结果正确
        System.out.println("结果是否一致：" + guavaHash.equals(jdkHash));
    }
}

• 用SHA-256官方标准测试向量校验
  这是验证算法合规性最严谨的方式，SHA-256规范公布了固定输入对应的固定输出值，你可以直接把代码里的cardNum替换成测试输入，看输出是否匹配标准值即可，常见测试向量：

  输入空字符串""，正确SHA-256结果：e3b0c44298fc1c149afbf4c8996fb92427ae41e4649b934ca495991b7852b855
  输入字符串"abc"，正确SHA-256结果：ba7816bf8f01cfea414140de5dae2223b00361a396177a9cb410ff61f20015ad
  只要这两个测试用例跑通，就说明Guava的SHA-256实现完全符合标准规范，不存在算法逻辑偏差。

• 与系统自带命令行工具结果比对
  你也可以直接用操作系统自带的哈希计算工具算同一段文本的结果做对照，不需要额外写代码：
  • Linux/macOS系统在终端执行：echo -n "待测试的卡号" | shasum -a 256
  • Windows系统在PowerShell执行：Get-FileHash -Algorithm SHA256 -InputStream ([System.IO.MemoryStream]::new([System.Text.Encoding]::UTF8.GetBytes("待测试的卡号")))
    把命令输出的十六进制哈希串和你代码运行的结果比对，完全一致就说明计算正确。

注意：所有对比校验必须保证编码统一，你原有代码明确指定了用UTF-8把字符串转成字节序列，其他对比实现也必须使用UTF-8编码，不能用操作系统默认编码，否则会因为原始输入字节不一致导致结果不匹配，和算法正确性无关。

内容的提问来源于stack exchange，提问作者Peter Penzov