Go模块校验和的Python实现指南

import hashlib
import base64
import requests
import os

def calculate_go_mod_checksum(file_content: str, file_name: str) -> str:
    """
    根据Go模块的dirhash算法计算go.mod文件的校验和。

    Args:
        file_content: go.mod文件的内容字符串。
        file_name: go.mod文件的名称，例如 "go.mod"。

    Returns:
        与sum.golang.org上匹配的Base64编码校验和字符串。
    """
    # 阶段1: 计算文件内容的SHA256哈希
    sha256_hash_content = hashlib.sha256(file_content.encode('utf-8')).digest()

    # 阶段2: 格式化字符串
    # 格式为: {十六进制哈希值}  {文件名}\n
    formatted_string = f'{sha256_hash_content.hex()}  {file_name}\n'

    # 阶段3: 计算格式化字符串的SHA256哈希
    sha256_hash_formatted = hashlib.sha256(formatted_string.encode('utf-8')).digest()

    # 阶段4: Base64编码最终哈希
    base64_checksum = base64.b64encode(sha256_hash_formatted).decode('utf-8')
    return base64_checksum

def verify_go_mod_hash(module_path: str, version: str):
    """
    下载指定Go模块的go.mod文件，计算其校验和，并与sum.golang.org上的值进行比对。

    Args:
        module_path: 模块路径，例如 "github.com/gin-gonic/gin"。
        version: 模块版本，例如 "v1.6.2"。
    """
    # 1. 构建go.mod文件的下载URL和sumdb查询URL
    go_mod_download_url = f'https://proxy.golang.org/{module_path}/@v/{version}.mod'
    sumdb_lookup_url = f'https://sum.golang.org/lookup/{module_path}@{version}'

    print(f"正在下载 go.mod 文件: {go_mod_download_url}")
    try:
        response = requests.get(go_mod_download_url)
        response.raise_for_status()  # 检查HTTP错误
        go_mod_content = response.text # 假设go.mod是文本文件
        print("go.mod 文件下载成功。")
    except requests.exceptions.RequestException as e:
        print(f"下载go.mod文件失败: {e}")
        return

    # 2. 计算本地go.mod内容的校验和
    # 注意：这里我们假设文件名为 "go.mod"，因为通常校验和是针对这个名字计算的。
    calculated_hash = calculate_go_mod_checksum(go_mod_content, "go.mod")
    print(f"本地计算的校验和: {calculated_hash}")

    # 3. 从sum.golang.org查询官方校验和
    print(f"正在查询 sum.golang.org: {sumdb_lookup_url}")
    try:
        response = requests.get(sumdb_lookup_url)
        response.raise_for_status()
        sumdb_response_lines = response.text.strip().split('\n')
        official_hash = None
        for line in sumdb_response_lines:
            # 查找以 module_path version/go.mod h1: 开头的行
            if f'{module_path} {version}/go.mod h1:' in line:
                official_hash = line.split('h1:')[1]
                break

        if official_hash:
            print(f"sum.golang.org 提供的校验和: {official_hash}")
            # 4. 比对校验和
            if calculated_hash == official_hash:
                print("校验和匹配成功！文件内容是完整且未被篡改的。")
            else:
                print("校验和不匹配！请检查文件或计算过程。")
        else:
            print("未在sum.golang.org响应中找到对应的校验和。")

    except requests.exceptions.RequestException as e:
        print(f"查询sum.golang.org失败: {e}")

# 示例使用
if __name__ == "__main__":
    module_path_example = "github.com/gin-gonic/gin"
    version_example = "v1.6.2"
    verify_go_mod_hash(module_path_example, version_example)

    print("\n--- 另一个示例 ---")
    module_path_another = "golang.org/x/mod"
    version_another = "v0.14.0"
    verify_go_mod_hash(module_path_another, version_another)