哈希（Hash），也常被称为“散列”或“摘要”，是计算机科学中最基础也最重要的概念之一。简单来说，哈希算法是一种数学函数，它能把任意长度的数据，转换成固定长度的字符串（通常是十六进制）。

1. 核心特性

大部分哈希算法都具备以下几个关键特性：

1. 确定性 (Deterministic)：完全相同的输入，必须产生完全相同的输出。
2. 不可逆 (One-way)：从哈希值（输出）几乎无法反推出原始数据（输入）。这与加密不同，加密是可以解密的。
3. 雪崩效应 (Avalanche Effect)：输入数据哪怕只改动了一个比特（bit），输出的哈希值也应该发生剧烈的变化。
4. 抗碰撞 (Collision Resistance)：找到两个不同的输入产生相同的输出是非常困难的（甚至在计算上是不可能的）。

2. 常见算法

• MD5：曾非常流行，输出 128 位。但因为已被证明容易产生碰撞（即不同的文件可以有相同的 MD5），现在主要用于简单的文件完整性校验，不再用于安全性要求高的场景。
• SHA-1：输出 160 位。也已被 Google 破解，不再推荐用于数字签名。
• SHA-2 (SHA-256, SHA-512)：目前的主流标准。Bitcoin 就使用了 SHA-256。
• Bcrypt/Argon2：专门设计用于存储密码的慢速哈希算法，能有效抵御暴力破解。

3. 为什么 npm 需要哈希？

在 npm install 的过程中，哈希扮演了“数字指纹”的角色。

当你下载一个包 react@18.0.0 时，npm Registry 会告诉你这个文件的哈希值（Integrity）。当你下载完成后，npm 会在本地对下载的文件重新计算一遍哈希。

• 如果 本地计算值 == Registry 给的值：说明文件在传输过程中没有损坏，也没有被黑客篡改，是安全的。
• 如果 不相等：说明文件可能损坏或被中间人攻击篡改了，npm 会拒绝安装并报错。

这就是为什么 package-lock.json 中保存了大量类似 sha512-xxxx... 的字段，它们是保障供应链安全的防线。

4. 其他应用场景

• 密码存储：数据库永远不该存储用户的明文密码。而是存储 hash(password)。比对登录时，计算输入密码的哈希是否与数据库一致。
• Git 版本控制：Git 的 Commit ID 就是一个 SHA-1 哈希，它代表了那一刻整个代码库的状态。
• 哈希表 (Hash Map)：编程中常用的 Key-Value 数据结构，利用哈希函数实现 O(1) 的快速查找。

总结

哈希就是数据的“指纹”。无论是为了安全、完整性还是效率，现代计算机系统都离不开它。