解决sha512sum识别报错，实现Kafka包SHA512校验及GPG程序化验证

官方发布的kafka_2.13-2.7.0.tgz.sha512采用了面向人类阅读的排版格式，和sha512sum/shasum工具要求的机器识别格式不兼容，和命令行参数无关。

两者的格式差异：

• 工具原生支持的标准校验文件格式：每一行严格遵循 <连续64位十六进制哈希值> <被校验文件路径>，哈希值为无任何空格、无断行的连续字符串，哈希和文件名之间用固定分隔符（1个或2个空格）隔开。
• 你下载的官方SHA512文件的排版特点：
  • 长哈希值被人为折成3行，每16个哈希字符之间插入空格做可读性优化
  • 文件名写在哈希前面，后面用冒号和哈希值分隔
  • 折行产生的换行、缩进空格都是排版冗余，没有任何校验工具能直接识别这种排版后的内容

你之前尝试把文件内容直接拼接给校验管道的操作失败，本质是拼出来的内容带着大量冗余空格、换行、冒号，根本不符合工具对连续哈希字符串的解析要求。

可以通过简单的文本处理把官方排版的SHA512文件转成工具可识别的标准格式，全程不需要人工比对，返回符合脚本判断要求的标准退出码：

# 清理冗余字符，生成标准格式的校验文件
sed -e 's/[[:space:]]//g' -e 's/:/  /' \
  kafka_2.13-2.7.0.tgz.sha512 > kafka_2.13-2.7.0.tgz.sha512.std

# 执行校验，文件匹配则返回0，不匹配则返回非0退出码
sha512sum --check kafka_2.13-2.7.0.tgz.sha512.std

上述sed命令的作用：

• s/[[:space:]]//g：删除文件内所有空格、换行、缩进符号，把折行散开的零散哈希值拼成连续完整的字符串
• s/:/ /：把文件名和哈希值之间的冒号，替换成校验工具要求的双空格分隔符，最终生成符合工具解析规则的行内容。

整套流程所有步骤都支持“校验失败返回非0码、校验成功返回0码”的标准退出码逻辑，可直接嵌入脚本运行，不需要人工介入：

1. 预先在本地GPG密钥环导入官方发布渠道的公钥，核对公钥指纹与官方公示的一致，拒绝导入来源不明的公钥
2. 下载对应版本SHA512文件对应的GPG分离签名（与SHA512文件同目录、同主文件名的.asc签名文件）
3. 执行GPG签名校验：

   gpg --verify kafka_2.13-2.7.0.tgz.sha512.asc kafka_2.13-2.7.0.tgz.sha512
   

   这一步返回0代表当前下载的SHA512文件是官方合法发布的内容，没有被中间人篡改或替换。
4. 按前述方法把SHA512文件转成标准格式，执行sha512sum --check校验二进制包完整性，返回0代表二进制包和官方发布的内容完全一致，没有损坏或被篡改。

内容的提问来源于stack exchange，提问作者Brad Solomon