下载个大文件，网站给一串MD5让你校验完整性。注册账号，密码存储又说用MD5加密。但安全圈又说MD5不能用了。MD5到底是啥，还能不能用，多数人没搞清。这事得分场景说。
MD5到底是什么
MD5全称Message Digest Algorithm 5，是1992年Rivest设计的哈希函数。它把任意长度输入映射成128位（16字节）的定长输出，通常表示成32位十六进制字符串。比如字符串hello的MD5是5d41402abc4b2a76b9719d911017c592。
MD5的特点和所有哈希函数一样：单向不可逆、定长输出、雪崩效应（输入改一个比特输出巨变）。但MD5有个先天短板：输出只有128位，比SHA256的256位短一半。输出短意味着可能的输出值少，碰撞概率高。
MD5的工作流程
MD5的算法结构和SHA256类似但更简单。输入先做填充补齐到512位的整数倍，然后分块处理。每块经过4轮共64步运算，用到位运算和模加。4轮分别用不同的辅助函数F、G、H、I，每轮16步。
和SHA256的64轮比，MD5的4轮看起来少很多，但每轮16步，总共也是64步。区别在于MD5的轮函数设计不如SHA256复杂，状态只有128位（4个32位字），SHA256是256位（8个32位字）。所以MD5的安全边界比SHA256窄。
这些细节不用记，你只要知道：MD5和SHA256都是哈希函数，原理都是位运算搅动输入。MD5更老更短更简单，SHA256更新更长更安全。
MD5的两个致命弱点
MD5为什么不能用于安全场景，两个原因。
第一，碰撞已被实战攻破。2004年王小云团队首次公布MD5碰撞，2007年有研究在普通电脑上3秒生成碰撞。2012年Flame病毒实战利用MD5碰撞伪造微软数字证书，绕过Windows更新验证。这意味着攻击者能造出两个不同文件MD5值相同，绕过基于MD5的完整性校验。
第二，算力发展让暴力破解可行。MD5输出128位，理论上抗原像需要2的128次方次运算。但现代GPU算力加上彩虹表，8位密码的MD5能在秒级破解，10位以内的纯数字密码MD5也能在几小时内跑完。对于短输入，MD5已经不能提供有效保护。
MD5还能用在哪
虽然不能用于安全场景，但MD5在某些非安全场景仍然有用。
文件完整性校验（非对抗场景）：下载文件后对比MD5，确认传输没出错。这里的前提是校验意外损坏（传输错误、磁盘错误），不是防恶意篡改。这个场景MD5仍然好用，因为快、普及率高。但如果担心文件被恶意替换，必须用SHA256。
缓存键和去重：用MD5作为缓存键或数据去重的指纹，速度快、碰撞概率在实际数据量下可忽略。比如网盘秒传就是用MD5判断文件是否已存在。
ETag和分块校验：HTTP的ETag常用MD5，大文件分块上传用MD5校验每块完整性。
这些场景的共同点：不涉及安全对抗，只防意外错误或用作标识符。只要不用于防恶意攻击，MD5仍可用。
MD5绝对不能用的场景
密码存储：绝对不能。用MD5存密码等于明文存储，彩虹表秒破。正确做法是用bcrypt、scrypt或Argon2，这些是慢哈希函数，专门为密码存储设计，有加盐和可调成本。
数字签名和证书：绝对不能。MD5碰撞能伪造证书，Flame病毒就是这么干的。所有CA和TLS现在都用SHA256或更高。
消息认证码HMAC：不推荐。虽然HMAC-MD5理论上碰撞不影响HMAC安全，但NIST已建议淘汰，新系统用HMAC-SHA256。
MD5和SHA256怎么选
简单原则：涉及安全用SHA256，不涉及安全用MD5够用且更快。
性能上MD5比SHA256快约2倍（软件实现）。在需要高频次哈希且不涉及安全的场景（缓存键、去重、ETag），MD5的速度优势有意义。安全场景必须SHA256，快出来的那点时间换不来安全性。
输出长度上MD5是128位（32位十六进制），SHA256是256位（64位十六进制）。存储空间上MD5省一半，但这个空间在现代存储下不是问题。
几个常被问的问题
【MD5能解密吗？】不能。哈希不可逆，没有解密这回事。网上所谓MD5解密网站是用彩虹表反查常见输入，对随机或加盐输入无效。要保密数据用AES，不是MD5或SHA256。
【MD5加盐还安全吗？】比不加盐好很多，但不如换算法。加盐防彩虹表，但防不住暴力破解。攻击者拿到盐和MD5值，可以用GPU暴力试，8位密码几小时能跑完。加盐的MD5在2010年后就不算安全了，新系统用bcrypt或Argon2。
【文件校验用MD5还是SHA256？】防意外损坏用MD5够用，防恶意篡改必须SHA256。开源软件的下载页通常同时给MD5和SHA256，你看安全要求选。日常下载校验MD5够，下载系统镜像这种重要文件用SHA256。
MD5这工具别一刀切否定也别无脑用。搞清它的边界，防意外损坏的场景放心用，涉及安全对抗的场景换SHA256或更专门的算法。搞不清安不安全就默认用SHA256，反正它也不慢，省得纠结。
