很多人把哈希、加密、编码混为一谈，这其实是个很常见的误区。虽然它们都是处理数据的方式，但目的和特性完全不同。搞清楚这些区别，对数据安全至关重要。
先说编码——只是换个格式
编码（Encoding）是最简单的一种转换。它把数据从一种格式换成另一种格式，目的是便于传输或存储。编码是双向的——可以编码，也可以解码。
Base64就是最典型的编码方式。"Hello"可以编码为"SGVsbG8="，反过来SGVsbG8=也能解码回"Hello"。但Base64不是加密，任何人都能解码它。
URL编码、ASCII编码、Unicode编码，都是同样的道理——它们只是换了种表现形式，并没有安全保护的作用。
加密——可逆的保护
加密（Encryption）是为了保密。只有掌握正确密钥的人才能解密并读取原始数据。
加密有两个关键特性：
- 可逆：有密钥就能解密还原
- 需要密钥：没有密钥就无法解密
例子：你给朋友发一条私密消息，用密码加密后发送。朋友收到后输入正确的密码，就能看到原文。如果朋友忘了密码，或者有第三方截获了消息但没有密码，就看不到内容。
哈希——不可逆的指纹
哈希（Hashing）的作用完全不同。它把任意长度的数据转换为一个固定长度的"指纹"——叫做哈希值或摘要。
哈希的核心特性：
- 不可逆：无法从哈希值反推原始数据
- 确定性：相同输入永远产生相同哈希
- 抗碰撞：几乎不可能找到两个不同的数据产生相同哈希
- 固定长度：无论输入多长，输出长度固定（如MD5是32字符，SHA-256是64字符）
为什么哈希不可逆
打个比方：你把一整部电影压缩成一张缩略图。从缩略图，你能还原出完整的电影吗？显然不能——大量信息在转换过程中丢失了。哈希也是同样的原理：它做了信息压缩，而且是从大量信息压缩到少量信息，必然会有信息损失。
各在什么场景使用
**密码存储**：用哈希，不用加密。很多人以为密码要加密存储——这是错的。密码哈希后存储，登录时比对哈希值即可。即使数据库泄露，攻击者也无法得到用户密码（彩虹表攻击是另一个话题，需要加盐应对）。
**文件完整性校验**：用哈希，不用加密。下载软件时，官网会公布MD5或SHA-256哈希值。你下载后计算文件的哈希，与官网对比，就能知道文件是否被篡改。
**传输敏感数据**：用加密，不用哈希。比如你通过API发送信用卡号，必须加密（HTTPS + AES等），因为收件人需要看到原文。哈希没用，因为收件人无法解密。
**数字签名**：既用哈希，也用加密。先对文档计算哈希值（保证完整性），再用私钥加密哈希（提供签名）——这才是完整的数字签名流程。
一个形象的比喻
把数据处理比作发快递：
- **编码** = 用标准纸箱包装（任何人都能打开）
- **加密** = 用带锁的箱子寄，密码单独告诉收件人
- **哈希** = 寄出前称重，收件人称重对比——如果重量变了，说明可能被打开过（但收件人看不到里面装了什么）
常见哈希算法
MD5：产生128位（32字符）哈希，曾广泛使用但已被破解，不适合安全场景。
SHA-1：160位哈希，2017年被Google破解，已逐步淘汰。
SHA-256：256位哈希，目前最广泛使用的安全哈希算法之一，比特币、SSL证书都在用。
bcrypt：专为密码设计的自适应哈希，支持成本因子，即使硬件变快也能保持安全性。
总结
记住这三者的本质区别：编码是格式转换（可逆），加密是保密（可逆，需密钥），哈希是单向指纹（不可逆）。下次有人问你"密码用什么加密存储"，你可以理直气壮地说"用哈希，不是加密"。