用 Thunder 下载 JDK 的问题

[zhengnanlee]

昨天升级 El Capitan 后需要 JDK ，去 Oracle 下载它时速度太慢，于是用 Thunder 下载。突然发现 Chrome 里面提示的大小和 Thunder 提示的大小不一样，心里咯噔一下，不会出现被篡改的 JDK 吧？因为用 Chrome 直接下载时速度太慢所以没有验证这两个途径下载的 JDK 是不是一样的。求告知会不会出现这种情况

[boywang004]

Oracle 用浏览器下载后获得带?（后面是 token ）的连接，放迅雷里下载就可以，或者直接找个快的中转服务器上去 wget 下来。 Oracle 的下载 token 只校验时间限制，没有访问者 IP 限制的。

[boywang004]

这种情况有，不过如果是 win 直接校验下.exe 签名， Mac 下 dmg 里面的 pkg 也有签名的。

[zhengnanlee]

@boywang004 Thunder 会不会先看这个要下载的文件是 JDK （或者是 Xcode 等）然后从服务器找一份修改过的提供用户下载？因为速度差距实在是太大了（ Chrome 只有 50k 左右而迅雷能满速）

[wkdhf233]

企鹅全家桶都下到过，有篡改也不会惊讶了

[chengzhoukun]

Windows 下用迅雷下载 jdk 变成百度杀毒（官网），仅供参考

[boywang004]

@zhengnanlee 这事儿技术理论上可行，但是实际情况没太大可能。所以不用太草木皆兵了。迅雷满速是因为有 P2P 以及它自己国内的镜像服务器 /CDN 服务器。下载下来对比签名就是了（这是一个怒好的习惯，尤其对于开发者来说）。

[iShao]

比较下 md5 就行了

事实上，很多下载说明的大小和下载到 Mac 上的大小有区别，计算方式有问题？

[zhengnanlee]

@wkdhf233 额…吓得我赶紧删掉了～

[zhengnanlee]

@chengzhoukun 这么猛！！

[zhengnanlee]

@iShao 换了一个小一点的文件，下载下来校验是一样的

[aivier]

事实证明，你只是下载了个老版， Win 上一般看数字签名

[hahasong]

@aivier 还是大神经验丰富

[Cu635]

@chengzhoukun 那是 oracle 和 baidu 合作的问题，不用迅雷也一样。

[Cu635]

@zhengnanlee oracle 上面的 jre 和 jdk 都有 md5 值提供的，校检一下就行了。

[Cu635]

@iShao 1000 进制和 1024 进制的差别。

现在 mac 上已经用 K 、 M 、 G 表示 1000 进制的，用 Ki 、 Mi 、 Gi 表示 1024 进制的了。

[Cu635]

@boywang004
@zhengnanlee

迅雷确实会“从服务器找一份提供用户下载”，但是不会故意去找“修改过的”。

迅雷不检查 hash 值，修改了迅雷也不知道，同名文件的老版本迅雷也不知道。有可能匹配错了。

这事儿可不是“实际情况没太大可能”。还有过这种事儿：文件多线程下载（分段），结果有的片段是下载的版本，有的片段是同名文件老版本，下载回来一个文件是坏的

[publicAdmin]

敢问兄台下 jdk 几

[jacy]

http://blog.eqoe.cn/posts/thunder-download-file-spoof.html

[zhengnanlee]

@publicAdmin 下的是 8u60 ，检查过了跟网站上一样

[zhengnanlee]

@Cu635 嗯校验过了，是一样的

[zhengnanlee]

@aivier 下的是个新的， 8u60

[bnbhaohao90]

是被 xcodeghost 搞怕了吧

[zhengnanlee]

@bnbhaohao90 是的呀！！…