无论是下载系统镜像、安装开发工具包，还是传输重要资料，文件在传输过程中都有可能因为网络问题出现损坏，甚至被恶意篡改。要验证文件是否完整、是否与官方发布的版本一致，最常用的方法就是计算文件的哈希值。在Windows系统中，其实不需要安装任何第三方软件，系统自带的命令行工具就能完成这项工作。很多人习惯把它叫作Windows MD5命令，实际上这个命令的真正名字是certutil，下面我们就把它讲清楚。
一、Windows下的MD5命令到底是什么
严格来说，Windows并没有一个叫md5sum的原生命令，那是Linux和macOS系统中的工具。在Windows中，计算文件哈希值的官方命令是certutil，它位于C:\Windows\System32目录下，是一个证书管理工具，但同时也内置了哈希计算功能。此外，Windows 10及以上版本的PowerShell中还提供了Get-FileHash这个专用命令，两者都可以用来计算MD5值。
certutil的基本语法非常简单，格式如下：
certutil -hashfile 文件路径 MD5
例如你要校验下载目录下的一个镜像文件，完整命令可以这样写：
certutil -hashfile D:\Downloads\ubuntu-22.04-desktop-amd64.iso MD5
命令执行后会输出两行内容，第一行是提示信息“MD5 的哈希(文件路径)”，第二行就是计算出来的32位十六进制哈希值。把这个值与官方发布的MD5值逐位对比，如果完全一致，说明文件在传输过程中没有被篡改或损坏。
如果使用PowerShell，则可以改用Get-FileHash命令：
Get-FileHash D:\Downloads\ubuntu-22.04-desktop-amd64.iso -Algorithm MD5
两者功能类似，但Get-FileHash的输出更规整，且支持直接通过管道处理多个文件，适合批量场景。
二、certutil命令的详细用法与算法选择
certutil的完整语法是certutil -hashfile 文件路径 算法名称。其中算法名称支持三种：MD5、SHA1和SHA256。如果不写第三个参数，默认会计算SHA1哈希值。
certutil -hashfile C:\Windows\System32\cmd.exe certutil -hashfile C:\Windows\System32\cmd.exe SHA256
这里需要重点说明算法的选择问题。MD5算法诞生于上世纪九十年代，运算速度快，至今仍广泛用于文件完整性校验。但从密码学角度看，MD5早已被认为不再安全，攻击者可以在合理时间内构造出两个不同内容但MD5值相同的文件，这就是所谓的碰撞攻击。SHA256属于SHA-2系列，目前还没有已知的实用碰撞方法，安全性远高于MD5。
因此，如果只是校验下载文件是否在传输中损坏，MD5完全够用；但如果要防范恶意篡改，例如验证系统镜像或安全软件的安装包，建议优先使用SHA256。很多官方发布渠道目前也同时提供多种哈希值，选择更强的算法总是更稳妥的做法。
对于大文件，certutil在计算过程中会显示进度，计算完成后才会输出哈希值。几个GB的镜像文件通常需要几十秒到几分钟，属于正常的I/O耗时，不必担心命令卡死。
三、批量校验与结果比对技巧
当你下载了多个分卷压缩包或一系列依赖包时，逐个手动输入命令非常繁琐。在PowerShell中可以结合通配符和循环批量计算：
Get-ChildItem D:\Downloads\*.zip | Get-FileHash -Algorithm MD5 | Format-Table Hash, Path -AutoSize
这条命令会把D:\Downloads目录下所有zip文件的MD5值以表格形式列出，方便与官方清单逐一比对。也可以把结果导出到文本文件留档：
Get-ChildItem D:\Downloads\* | Get-FileHash -Algorithm SHA256 | Out-File D:\Downloads\hash-result.txt
在比对哈希值时要注意大小写问题。哈希值本身不区分大小写，A和a表示同一个十六进制数字，官方给出的值可能是大写或小写，certutil输出的是大写字母，而Get-FileHash默认输出小写。比对时忽略大小写即可，不要误以为不一致。另外一个细节是哈希字符串中间有时会夹杂空格或换行，比对前最好先去掉所有空白字符。
四、新手最容易踩的几个坑
第一个坑是文件路径包含空格导致命令报错。比如文件放在C:\Program Files目录下，如果直接写成certutil -hashfile C:\Program Files\test.zip MD5，命令行会把路径从空格处截断，报出“系统找不到指定的文件”的错误。解决办法是用英文双引号把整个路径包起来：
certutil -hashfile "C:\Program Files\test.zip" MD5
第二个坑是在CMD和PowerShell中混淆用法。有些教程里的md5sum命令来自Git Bash或Cygwin环境，直接在Windows自带的CMD里执行会提示不是内部或外部命令。遇到这种情况，先确认自己打开的是哪种终端，Windows原生环境请使用certutil或Get-FileHash。
第三个坑是默认算法的误用。很多人执行certutil -hashfile 文件后拿结果去和官方的MD5值比对，发现对不上就以为文件损坏了。其实不带第三个参数时默认输出的是SHA1值，长度是40位，而MD5只有32位。看到40位的字符串就应该意识到算法选错了，补上MD5或SHA256参数重新计算即可。
第四个坑是相对路径的工作目录问题。如果在命令中使用相对路径，certutil会以当前目录为基准查找文件。建议初学者养成使用绝对路径的习惯，例如D:\Downloads\xxx.iso，避免因为终端当前目录不对而找不到文件。
五、总结
Windows下计算文件MD5值的核心命令就是certutil -hashfile，配合PowerShell的Get-FileHash可以应对从单文件到批量的各种校验场景。使用时记住三个要点：路径含空格要加引号、指定正确的算法名称、哈希值比对忽略大小写。在安全性要求较高的场合，优先选择SHA256而非MD5。掌握这些内容后，验证文件完整性就成了一件一分钟的轻松事。
Windows MD5命令certutil文件校验修改时间：2026-09-02 03:58:27