首先通过SHA256哈希值比对验证文件完整性，再利用GPG签名确认镜像真实性，最后可借助HashTab等图形工具简化操作，确保系统镜像未被篡改且来源可信。
如果您下载了某个操作系统的安装镜像，但不确定其来源是否可靠，则可能是由于镜像在传输过程中被损坏或被恶意篡改。以下是验证系统镜像完整性和真实性的详细步骤：
本文运行环境：Dell XPS 13，Windows 11
一、使用SHA256校验工具验证文件完整性
通过计算下载文件的SHA256哈希值，并与官方发布的哈希值进行比对，可以判断文件是否与原始版本一致。任何微小的改动都会导致哈希值发生巨大变化。
1、打开命令提示符或PowerShell，以管理员身份运行。
2、输入以下命令并回车，将“C:\path\to\your.iso”替换为实际的镜像文件路径：
certutil -hashfile C:\path\to\your.iso SHA256
3、等待计算完成，系统会输出一个由字母和数字组成的64位字符串。
4、访问该操作系统官方网站的发布页面，查找对应版本的官方SHA256校验码。
5、将本地计算出的哈希值与官网公布的值逐字符对比，必须完全一致（包括大小写）才能确认文件未被修改。
二、利用GPG签名验证镜像真实性
GPG签名不仅能验证文件完整性，还能确认文件确实来自官方开发者，防止中间人攻击。此方法结合了加密签名和哈希校验，安全性更高。
1、从操作系统官网下载对应的GPG签名文件（通常命名为SHA256SUMS.gpg或类似名称）。
2、同时下载官方提供的校验文件（如SHA256SUMS.txt），其中包含所有可用镜像的哈希列表。
3、导入官方GPG公钥。例如Ubuntu用户可执行：
gpg --keyserver hkp://keyserver.ubuntu.com --recv-keys 0x46181433FBB75451
4、在终端中执行签名验证命令：
gpg --verify SHA256SUMS.gpg SHA256SUMS.txt
5、检查输出结果，若显示“Good signature”且签名者可信，则说明校验文件真实有效。
6、使用校验文件验证ISO：
sha256sum -c SHA256SUMS.txt
7、当终端返回“OK”时，表示所下载的镜像文件通过了完整性校验。
三、借助第三方图形化工具快速校验
对于不熟悉命令行的用户，可以使用带有图形界面的哈希校验工具，简化操作流程，降低出错概率。
1、下载并安装可信的哈希计算软件，如HashTab或7-Zip。
2、右键点击已下载的系统镜像文件，选择“属性”。
3、在弹出窗口中找到新增的“File Hashes”或“哈希值”标签页。
4、勾选SHA-256算法选项，工具将自动开始计算。
5、等待计算完成后，复制生成的哈希值。
6、将其粘贴到文本编辑器中，与从官网获取的官方哈希值进行手动比对。
7、确认两个字符串每一个字符都完全相同，方可认为镜像是安全可靠的。
