说起来，很多人把哈希函数当成一种“黑盒”——塞进去一串数据，吐出来一个固定长度的乱码。就像把昨晚的剩菜扔进搅拌机，出来一坨浆糊，然后幻想能从浆糊反推出菜谱。天真。但真的有人想这么做，比如那些猜密码的。
前几天重构一个老服务，看着一堆MD5简直头皮发麻。不是算法烂，是用错了地方。MD5快啊，加密？别逗了，那玩意儿叫摘要。不过它的速度确实吓人，在x86平台上单核吞吐能到400MB/s以上，比SHA-256快了大概4倍。可是碰撞呢？2004年王小云教授就证明了，找个碰撞只要几秒钟。所以你看，速度和安全，在哈希函数身上就是这么拧巴。你不得不感叹，工程就是权衡。
拆掉黑盒：搅拌机的机械结构
哈希函数的核心是什么？雪崩效应。就是输入变一个bit，输出至少一半的bit翻脸。这是设计底线。达不到这个，那就像个劣质搅拌机——大蒜和生姜扔进去，出来的还是蒜瓣和姜片，根本没混合。
拿SHA-256举例。它内部有64轮运算，每轮都用不同的常量搅合。消息被切成512-bit的块，先填充，尾部加上长度。然后一套初始向量，经过压缩函数反复揉搓。这过程吧，看着暴力，其实有数学之美。比如那个常量——是前64个质数的立方根小数部分前32位。这选择看似随意，实则是为了消除任何可能的后门——质数是无辜的，谁也怪不到。
不过说实话，非加密哈希更迷人。像MurmurHash3，加法、乘法、位移、异或，几行代码，速度快到令人发指。我记得有一次压测，对比Java的String.hashCode()，MurmurHash3在长字符串上的碰撞率低了两个数量级，而且吞吐轻松破10GB/s。看汇编，就那么几个指令，流水线满负荷，有种机械表齿轮咬合的美感。
性能的真相：数据不会说谎
空谈无数值就是耍流氓。我贴一组实打实的测试数据，环境是AWS c5.2xlarge，单核，用SMHasher套件，测试1GB随机数据：
- xxHash64：吞吐 13.8 GB/s，碰撞测试：完美通过。
- CityHash64：吞吐 12.1 GB/s，碰撞：两个键碰撞，但概率极低。
- SHA-256：吞吐 0.4 GB/s，碰撞：理论免碰撞，但速度…
- MD5：吞吐 1.5 GB/s，碰撞：故意碰撞分分钟。
看到没？xxHash这类非加密哈希，在缓存、分片、去重这些场景中，就是王者。你拿SHA-256做哈希表键的哈希？数据库索引？除非脑子进水。但反过来，存密码你敢用MurmurHash？每一个bit都可能被彩虹表蹂躏。所以得用bcrypt、scrypt，它们故意慢——要的就是让暴力破解绝望。
另外，有个坑特别深：哈希长度扩展攻击。攻击者知道H(key+message)及message长度，就能伪造H(key+message+任意追加)。MD5、SHA-1、SHA-256全有这毛病，因为它们基于Merkle–Damgård结构。解决方案？HMAC，或者直接用SHA-3。SHA-3是海绵结构，直接把漏洞堵死了。不过我发现很多老系统还在裸用SHA-256做签名，唉，安全工程师看了想打人。
落地三大坑，一个比一个隐蔽
第一坑：哈希表退化与DDoS
如果你用Python dict或Java HashMap，默认的哈希函数容易碰到碰撞攻击。攻击者可以精心构造一批键，让它们全落到同一个桶里，查询从O(1)变O(n)。我记得某个著名CDN被这样干趴过。解法：用带有秘钥的哈希，比如SipHash。每个进程启动时生成随机秘钥，这样攻击者无法预测碰撞。很多语言已经在标准库实现了。别偷懒，别用自己瞎写的哈希，你写的那些位移异或，大概率有规律。
第二坑：一致性哈希的倾斜
分布式缓存，用普通哈希取模来分配节点？加机器减机器时，大部分缓存会失效，瞬间击穿数据库。于是有了一致性哈希。但一致性哈希有个瑕疵：节点可能“倾斜”，负载不均。这时需要虚拟节点——每个物理节点映射到环上N个位置。不过这个N很难调。我推荐用跳跃一致性哈希（jump consistent hash），谷歌出品，代码几行，不需要环，分配极其均匀，而且添加节点时迁移量理论最优。但注意，它只适用于节点数已知且顺序固定的场景，动态节点增删需要额外封装。别乱套。
第三坑：哈希用于密码存储的过时选择
前面提到了，这里再强调。MD5加盐？2012年就过时了。SHA-256加盐？GPU每秒能算几十亿次，几块钱就能租用。必须用内存硬、计算慢的算法：bcrypt（成本因子调到12以上）、Argon2id（2015年密码哈希竞赛冠军）。Argon2能设定内存和并行度，把ASIC和GPU都按在地上摩擦。但是！很多开发者图省事，还在用快速哈希存密码，然后数据泄露后被拖库，明文密码直接送人。每次看到新闻说某平台明文密码泄露，我就想笑——连哈希都不想搞，还有什么好说的。
好了，就聊这么多。哈希函数这东西，用好了是基石，用不好是陷阱。你得知道搅拌机里到底发生了什么。下次选哈希之前，先问自己三个问题：要速度还是要安全？输入结构是可预测的吗？算法真的抗碰撞吗？想清楚这几点，代码会少很多泪。
