哈希大小决定输出摘要的位数，直接影响抗碰撞强度、存储开销与运算速度。本专题系统梳理MD5、SHA-1、SHA-256、SHA-512、BLAKE3等主流哈希函数的输出规格，结合真实业务场景说明哈希长度选择策略，并给出可落地的性能优化建议。
哈希大小指哈希函数输出摘要的二进制位数，常见有128位、160位、256位、512位。位数越多，理论碰撞概率越低，但存储与传输成本同步上升。
根据生日悖论，n位哈希的碰撞概率约为2^(n/2)。MD5的128位输出已可在数小时内构造碰撞，而SHA-256的256位输出仍具备充足安全裕度。
在数据结构中，哈希大小与桶数量的比值即负载因子。工程实践建议控制在0.75以内，超过后冲突链变长，查询效率从O(1)向O(n)退化。
区块链普遍采用SHA-256构建默克尔树，每个节点存储32字节哈希值。哈希大小的统一保证了树结构紧凑，同时简化了轻节点验证逻辑。
密码哈希不应直接使用快速哈希函数。bcrypt、scrypt、Argon2通过可调参数增加计算成本，其输出大小通常为192至256位，兼顾安全与兼容。
布隆过滤器的误判率与位数组大小、哈希函数个数相关。当插入n个元素、期望误判率p时，最优位数m≈-n·ln(p)/(ln2)²，哈希个数k≈(m/n)·ln2。
| 算法名称 | 输出大小 | 抗碰撞等级 | 典型用途 |
|---|---|---|---|
| MD2 | 128位 | 已淘汰 | 历史遗留系统 |
| MD5 | 128位 | 不安全 | 文件校验（非安全） |
| SHA-1 | 160位 | 已破解 | 旧版Git对象 |
| SHA-224 | 224位 | 中等 | 物联网设备 |
| SHA-256 | 256位 | 高 | 区块链、TLS |
| SHA-384 | 384位 | 很高 | 高安全签名 |
| SHA-512 | 512位 | 极高 | 密码学强场景 |
| BLAKE3 | 可扩展 | 高 | 高性能并行场景 |
| 哈希表容量 | 推荐负载因子 | 平均查找步数 | 内存占用 |
|---|---|---|---|
| 1,024 | 0.72 | 1.31 | 约 8 KB |
| 4,096 | 0.74 | 1.34 | 约 32 KB |
| 16,384 | 0.75 | 1.36 | 约 128 KB |
| 65,536 | 0.76 | 1.39 | 约 512 KB |
| 262,144 | 0.77 | 1.42 | 约 2 MB |
| 1,048,576 | 0.78 | 1.46 | 约 8 MB |
| 4,194,304 | 0.80 | 1.52 | 约 32 MB |
随着量子计算研究推进，Grover算法对哈希函数的有效强度产生平方根级别的影响。对于256位输出的哈希函数，量子搜索的理论复杂度降至2^128次，仍远高于当前可实现的算力边界。因此，SHA-256在可预见未来仍具备安全裕度，但高价值场景已开始向SHA-384或SHA-512迁移。
与此同时，NIST后量子密码标准化进程推动了哈希函数在签名方案中的新用法。SPHINCS+等无状态哈希签名方案对哈希大小与调用次数高度敏感，工程实现需在签名体积与验证速度之间取得平衡。输出大小的选择不再是单一安全指标，而成为系统级性能权衡的一部分。
在工程实践中，推荐采用算法敏捷性设计：将哈希算法标识与输出长度编码进数据结构头部，以便在算法迁移时保持向后兼容。这种设计已在TLS 1.3、JWT、CBOR等标准中得到体现。
通过可视化动画展示输入微小变化导致输出哈希值完全改变的过程，直观理解哈希大小的意义。
逐段解析256位输出的构成，说明初始向量、压缩函数与最终摘要之间的关系。
在不同负载因子下测试插入、查找、删除操作耗时，给出工程调优建议。
用图表展示不同输出位数下的碰撞概率曲线，帮助选择合适哈希大小。