FetchContent_Declare 中 URL_HASH 的使用

Question

我是 CMake 的新手，并试图理解以下 CMake 命令

FetchContent_Declare(curl
URL                    https://github.com/curl/curl/releases/download/curl-7_75_0/curl-7.75.0.tar.xz
URL_HASH               SHA256=fe0c49d8468249000bda75bcfdf9e30ff7e9a86d35f1a21f428d79c389d55675
USES_TERMINAL_DOWNLOAD TRUE) 

当我打开浏览器并输入https://github.com/curl/curl/releases/download/curl-7_75_0/curl-7.75.0.tar.xz时，文件curl-7.75.0.tar.xz将无需URL_HASH即可开始下载。 我确信这不是多余的。 我想知道URL_HASH的目的是什么？

另外如何找到SHA256 ？ 因为当我访问https://github.com/curl/curl/releases/download/curl-7_75_0以了解更多信息时，链接已损坏。

Answer 1

我确信这不是多余的。 我想知道 URL_HASH 的目的是什么？

SHA256 等安全 hash 功能设计为单向； （在实践中）不可能使用与原始文件相同的 SHA256 hash 来制作文件的恶意版本。 甚至不可能找到两个具有相同 hash 的任意文件。 这样的一对被称为“碰撞”，即使找到一个也将构成密码分析的重大突破。

因此，在 CMakeLists.txt 中此 hash 的目的是作为完整性检查。 如果不良行为者以某种方式拦截了您的连接，则检查您实际下载的文件的 hash 与此硬编码的预期hash 将检测文件是否在传输过程中更改。 这甚至可以捕获不太严重的数据损坏，例如由故障硬盘驱动器引起的数据损坏。

在下载代码或其他二进制工件时，绝对需要包含这样的 hash（“校验和”）。

另外如何找到SHA256？

通常，这些将与二进制文件一起发布。 如果可用，请使用已发布的值。

如果你必须自己计算，你有几个选择。 在 Linux 命令行上，您可以使用sha256sum命令。 作为一个黑客，你可以故意写一个错误的SHA256=0值或其他东西，然后从错误消息中找出观察到的值。

请注意，如果您自己计算 hash，您应该 (a) 从绝对受信任的连接和设备下载文件，或 (b) 从多个独立设备下载文件（免费的 CI 系统，如 GitHub 操作对此很有用）并确保hash 在所有这些中都是相同的。