锐客网

  1. 首页 > 睿知 > it技术 > >

sha256算法go语言 sha1算法代码( 六 )

IT技术版本


为了解决Go module的这一安全隐患 ， Go开发团队在引入go.mod的同时也引入了go.sum文件 ， 用于记录每个依赖包的哈希值，在构建时，如果本地的依赖包hash值与go.sum文件中记录得不一致，则会拒绝构建 。
go.sum文件记录
go.sum文件中每行记录由module名、版本和哈希组成，并由空格分开：
比如，某个go.sum文件中记录了github.com/google/uuid 这个依赖包的v1.1.2版本的哈希值：
正常情况下，每个依赖包版本会包含两条记录，第一条记录为该依赖包版本整体(所有文件)的哈希值，第二条记录表示该依赖包版本中go.mod文件的哈希值，如果该依赖包版本没有go.mod文件，则只有第一条记录 。如上面的例子中，v1.1.2表示该依赖包版本整体，而v1.1.2/go.mod表示该依赖包版本中go.mod文件 。
依赖包版本中任何一个文件（包括go.mod）改动 ， 都会改变其整体哈希值，此处再额外记录依赖包版本的go.mod文件主要用于计算依赖树时不必下载完整的依赖包版本，只根据go.mod即可计算依赖树 。
每条记录中的哈希值前均有一个表示哈希算法的h1:，表示后面的哈希值是由算法SHA-256计算出来的
go.sum文件中记录的依赖包版本数量往往比go.mod文件中要多 ， 这是因为二者记录的粒度不同导致的 。go.mod只需要记录直接依赖的依赖包版本，只在依赖包版本不包含go.mod文件时候才会记录间接依赖包版本，而go.sum则是要记录构建用到的所有依赖包版本 。
生成
当我们在GOMODULE模式下引入一个新的依赖时，通常会使用go get命令获取该依赖，比如：
go get命令首先会将该依赖包下载到本地缓存目录$GOPATH/pkg/mod/cache/download ， 该依赖包为一个后缀为.zip的压缩包，如v1.0.0.zip 。go get下载完成后会对该.zip包做哈希运算，并将结果存放在后缀为.ziphash的文件中，如v1.0.0.ziphash 。如果在项目的根目录中执行go get命令的话 ， go get会同步更新go.mod和go.sum文件，go.mod中记录的是依赖名及其版本 ， 如：
go.sum文件中则会记录依赖包的哈希值(同时还有依赖包中go.mod的哈希值)，如：
在更新go.sum之前，为了确保下载的依赖包是真实可靠的，go命令在下载完依赖包后还会查询GOSUMDB环境变量所指示的服务器，以得到一个权威的依赖包版本哈希值 。如果go命令计算出的依赖包版本哈希值与GOSUMDB服务器给出的哈希值不一致，go命令将拒绝向下执行，也不会更新go.sum文件 。
go.sum存在的意义在于 ， 希望别人或者在别的环境中构建当前项目时所使用依赖包跟go.sum中记录的是完全一致的 ， 从而达到一致构建的目的 。
校验
假设我们拿到某项目的源代码并尝试在本地构建，go命令会从本地缓存中查找所有go.mod中记录的依赖包，并计算本地依赖包的哈希值，然后与go.sum中的记录进行对比，即检测本地缓存中使用的依赖包版本是否满足项目go.sum文件的期望 。
如果校验失败，说明本地缓存目录中依赖包版本的哈希值和项目中go.sum中记录的哈希值不一致，go命令将拒绝构建 。这就是go.sum存在的意义，即如果不使用期望的版本，就不能构建 。
校验和数据库
环境变量GOSUMDB标识一个checksum database ， 即校验和数据库 ， 实际上是一个web服务器，该服务器提供查询依赖包版本哈希值的服务 。
该数据库中记录了很多依赖包版本的哈希值，比如Google官方的sum.golang.org则记录了所有的可公开获得的依赖包版本 。除了使用官方的数据库 ， 还可以指定自行搭建的数据库，甚至干脆禁用它(export GOSUMDB=off) 。

推荐阅读


上一篇：街拍摄影师是做什么的呢，街拍摄影师的相机推荐

下一篇：摄像头拍摄夜景有什么用，摄像头拍摄夜景有什么用吗