git - git commit hash 可信吗？

Question

当在 github 上使用来自未知第三方的代码时，我总是确保检查代码不存在可能危及我系统安全的明显后门。

我正在审查的存储库的特定状态可能绑定(bind)到一个 git 标签和一个提交哈希。众所周知，git 标签的内容可以很容易地更改。所以重新下载源码，根据版本标签信任肯定是不安全的。

我的问题是:在下载新的源代码时，我是否可以相信如果我根据完整的提交哈希检查特定的提交，这与我之前查看的代码 100% 相同？

这个问题的重点根本不在于发生 sha1 冲突的概率(因为计算冲突比计算特定的 sha1 哈希要容易得多 - 希望 - 目前几乎不可能？)，但是是否每个文件都是此 sha1 总和的一部分，以便更改总是会触发不同的哈希值。

Answer 1

简而言之:是的。

关于 this page你可以看到这个 sha1 和是如何形成的。它由以下部分组成:

• 提交的源代码树(分解为所有子树和 Blob )
• 父提交 sha1
• 作者信息
• 提交者信息(对，它们是不同的!)
• 提交信息

因此每个文件中的每个更改都包含在 sha1sum 的计算中。据我所知，您可以相信，对任何文件的任何更改在每种情况下都会产生不同的 sha1 总和。

编辑:我开始完成我的一个提交:

git cat-file commit HEAD

给出:

tree 563ccb5109fbf0a01d99517ca1dbe15db349592d
parent 3c6f0800708aeaaeaba804273406ddcd0b3175ad
...

现在 git cat-file -p 563ccb5109fbf0a01d99517ca1dbe15db349592d:

100644 blob d8fe4fa70f618843e9ab2df67167b49565c71f25    .gitignore
100644 blob dba1ba3a31837debf7a28eceb194e86916b88cbc    README
040000 tree 37ad71e959c6dadd0e4b7aff8a0c6e85a0eff789    conf
040000 tree 60eca667ab8b5852ecd2dd2d91d198a3956a8b73    etc
040000 tree 634c4c2ec34aec14142b5991bd3a5126110f2cae    sbin
040000 tree 256db03954535d25d5f340603e707207170f199c    spec
040000 tree 9e1e156f88b842da471f52d4c135f391319b4991    usr

我可以继续深入:git cat-file -p d8fe4fa70f618843e9ab2df67167b49565c71f25:

/.project

(这是我的 .gitignore 文件的内容)或 git cat-file -p 256db03954535d25d5f340603e707207170f199c:

100644 blob 591367a913adbeb1c86d674d240fb08ab8ccf78b    base.spec

(这是我的“spec”目录的内容)。

如您所见，每个文件的内容递归地出现在文件的 sha1 总和中；然后在 source tree 的 sha1 总和中，最后在 commit 的 sha1 总和中。