如何校验脚本未被篡改：使用git属性ident $Id$遇仓库外哈希不符问题

你遇到的哈希不一致问题核心和git的过滤器工作逻辑直接相关：

• git的ident属性属于仓库级配置：提交文件时，git会自动把内容里的$Id: 实际哈希 $还原为$Id$占位符，再计算哈希存入版本库；签出文件时，再把占位符替换为实际哈希写入工作区文件。
• 在仓库内运行git hash-object时，git会读取当前仓库的.gitattributes配置，自动触发ident过滤器的还原逻辑，先把文件里的实际id值替换回占位符再计算哈希，所以和你提取的gitId一致。
• 文件脱离仓库后，没有对应的.gitattributes配置，git hash-object不会触发ident还原，直接对带实际id值的文件内容计算哈希，自然和内置的gitId不匹配。

不用调用git命令，自己实现git blob哈希的计算逻辑+ident还原逻辑，分发到任意机器都能正常运行，参考实现如下：

import hashlib
import re

# 内置的自动生成的id值，提交时git会自动更新
gitId = '$Id: 98a648abdf1cd8d563c72886a601857c20670013 $'
expected_sha = gitId[5:-2].strip()

# 读取当前文件内容
with open(__file__, 'r', encoding='utf-8') as f:
    content = f.read()

# 还原ident占位符：把所有$Id: xxx $替换回$Id$，和git提交时的处理逻辑一致
processed_content = re.sub(r'\$Id: [0-9a-fA-F]{40} \$', r'$Id$', content)

# 计算git blob格式的哈希值，和git hash-object结果完全一致
blob_header = f'blob {len(processed_content.encode("utf-8"))}\0'
hash_obj = hashlib.sha1()
hash_obj.update(blob_header.encode('utf-8'))
hash_obj.update(processed_content.encode('utf-8'))
actual_sha = hash_obj.hexdigest()

if actual_sha != expected_sha:
    print(f'文件已被篡改\n预期哈希：{expected_sha}\n实际哈希：{actual_sha}')
    exit(1)

# 后续是脚本正常业务逻辑

该实现完全脱离git依赖，不管文件在不在git仓库里都能正常校验。

如果不想依赖git的ident机制，还有更简单的实现方式：

• 哈希硬编码方案：把文件除了哈希赋值行之外的内容计算哈希，硬编码到脚本里，校验时跳过哈希行计算对比即可，不需要修改git配置。
• 公钥签名方案：如果对安全性要求更高，可以用私钥对脚本哈希签名，把签名和公钥内置到脚本中，校验时用公钥验签，避免用户篡改哈希值本身。

内容的提问来源于stack exchange，提问作者lmutricy