linux - Golang go1.14.7.linux-amd64.tar.gz 校验和不匹配

Question

https://golang.org/dl/显示了不同的 SHA256 校验和与我下载到 VPS 中的校验和:

go1.14.7.linux-amd64.tar.gz Archive Linux x86-64 118MB 4a7fa60f323ee1416a4b1425aefc37ea359e9d64df19c326a58953a97ad41ea5

我得到不同的值:

sha256sum go1.14.7.linux-amd64.tar.gz353f6c251ab323f7435d107577f1504d3c4f74af4ebb06fa2d3c71fc7560f4f3 go1.14.7.linux-amd64.tar.gz

我下载它使用

curl -O https://golang.org/dl/go1.14.7.linux-amd64.tar.gz

这里发生了什么？ golang.org 的值是否有可能没有更新？中间人攻击或类似攻击？

Answer 1

您看到的问题是由于未使用 -L选项，执行自动重定向。如果您使用的浏览器不正确支持 Location，您使用的链接会重定向到实际位置并提供一个 stub HTML 页面来执行重定向。标题。因此，您得到的哈希是一个小的、不完整的 HTML 文件，而不是真正的 Go 存档。
如果我不使用 -L选项，我得到你报告的结果；如果我这样做，那么我会得到下载页面上列出的预期结果。请注意，如果您对已验证的存档拥有可信的、强大的校验和或签名，则使用 -L 始终是安全的。选项，因为您将手动验证存档并且攻击者将无法篡改它。