SHA512/256 和 SHA256 有什么区别 - 极速工具箱

第一次在配置项里看到 SHA-512/256 的人，往往会以为它是笔误，或者以为它表示「SHA-512 和 SHA-256 二选一」。实际上它是一个独立的算法，名字里的斜杠是标准的一部分，表示它是 SHA-512 的截断变体。它和 SHA-256 输出长度相同，结果却完全不一样。

名字里的斜杠是标准写法

FIPS 180-4 里定义了四个「截断变体」：SHA-512/224、SHA-512/256、SHA-512/224 与 SHA-512/256 的命名格式是「基础算法 / 输出位数」。斜杠后面的数字表示输出长度，不是除法。

所以 SHA-512/256 的含义是：使用 SHA-512 的算法结构，但输出 256 位。

这一点与 SHA-224、SHA-384 的关系类似——它们也是截断变体，分别基于 SHA-256 和 SHA-512。

最容易产生的疑问是：既然输出 256 位，为什么不直接算 SHA-512 然后取前 32 字节？

因为标准里的截断变体并不是这么实现的。它们使用不同的初始向量（IV）。SHA-512 有一套固定的初始向量，SHA-512/256 使用的是另一套由标准指定的值。因此算出来的结果与 SHA-512 的前半部分完全不同。

使用独立初始向量有两层考虑。第一是安全性分析更清晰：直接截断会让攻击者知道被丢弃的那部分内容，理论上为攻击提供了额外信息。第二是避免「同一算法两种用法互相干扰」，让变体成为独立的对象，而不是依赖某个基础算法的实现细节。

一个可以验证的结果是：对同一段输入，SHA-256、SHA-512 的前 32 字节、SHA-512/256 三者得到的值互不相同。

SHA-512/256 的价值在于同时满足两个条件：需要 256 位的输出长度，又希望在 64 位平台上获得 SHA-512 级别的性能。

前面讨论过，SHA-512 内部使用 64 位字运算，在 64 位 CPU 上往往比 SHA-256 更快。如果某个协议规定摘要长度必须是 256 位（例如字段宽度已经定死、或者要与既有系统对齐），又希望用上更快的实现，SHA-512/256 就是合适的答案。

反过来，如果对性能没有特别要求，或者目标平台是 32 位环境，直接选 SHA-256 更省事——它的生态支持最广泛，几乎所有语言、库和硬件指令都覆盖了。

使用截断变体时要注意一个现实问题：不是所有环境都支持。

SHA-256 和 SHA-512 是最主流的两个，几乎任何加密库都提供。SHA-512/256 的支持面明显窄一些，某些语言的标准库没有直接封装，需要依赖底层实现或者第三方库。老版本的工具链可能完全不认识这个算法名。

所以决定使用之前，先确认链路两端（生成方与校验方）都能正确计算它。如果其中一端是嵌入式设备或老系统，很可能只能退回 SHA-256。

另外要注意配置项的书写。不同系统对算法名的写法不统一，有的写 SHA-512/256，有的写 SHA512_256，有的写 sha512-256。写错不会被自动纠正，通常表现为「算法不支持」的报错，排查时要先核对拼写。