为何Indy 9的TIdX509生成16字节证书指纹而非标准20字节？

核心原因很直白：Indy 9的TIdX509组件默认使用MD5哈希算法生成指纹，而你的Java代码用的是SHA-1。两者的输出长度天生不同：

• MD5哈希的结果固定是16字节（对应16组两位十六进制值，也就是你看到的72:7F:8D:DF:8D:5F:61:A3:9E:DF:38:CA:C5:5B:18:0A格式）
• SHA-1哈希的结果固定是20字节（对应20组两位十六进制值，和你Java代码、在线工具的输出一致）

为什么Indy 9默认用MD5？ #

在Indy 9的设计中，TIdX509.Fingerprint属性的实现依赖于OpenSSL的底层函数，默认选择了MD5作为指纹算法——这在早期SSL/TLS场景中是常见做法，但现在SHA-1（甚至SHA-256）已经成为证书指纹的主流选择。

如何让Delphi代码生成和Java一致的SHA-1指纹？ #

你需要手动使用Indy的SHA-1哈希组件来计算证书的DER编码哈希值，而不是直接依赖TIdX509.Fingerprint属性。以下是适配Delphi 5 + Indy 9的示例代码：

function GetX509SHA1Fingerprint(AIdX509: TIdX509): string;
var
  LHash: TIdHashSHA1;
  LDERBytes: TByteDynArray; // Indy 9使用TByteDynArray而非TBytes
  I: Integer;
begin
  LHash := TIdHashSHA1.Create;
  try
    // 获取证书的DER编码字节流（和Java中cert.getEncoded()输出一致）
    LDERBytes := AIdX509.CertToDER;
    // 计算SHA-1哈希
    LDERBytes := LHash.HashBytes(LDERBytes);
    // 格式化为带冒号的十六进制字符串
    Result := '';
    for I := 0 to High(LDERBytes) do
    begin
      if I > 0 then
        Result := Result + ':';
      // 确保输出两位十六进制，自动补前导零
      Result := Result + IntToHex(Integer(LDERBytes[I]), 2);
    end;
  finally
    LHash.Free;
  end;
end;

调用这个函数并传入你的TIdX509实例，就能得到和Java代码、在线工具完全一致的20字节SHA-1指纹了。

内容的提问来源于stack exchange，提问作者Gustavo