SHA-256 这类基于 Merkle–Damgård 结构的哈希函数存在长度扩展性质：知道一段消息的哈希值，无需知道原文，就能算出这段消息再接一段可控尾巴之后的哈希。本文解释这一性质的结构成因、它如何让 hash(secret‖message) 这种简陋校验被绕过，以及 HMAC 和 SHA-3 各自如何终结这个问题。

生日悖论说明：找碰撞的难度远比直觉以为的低——256 位哈希也要约 2 的 128 次方次运算才有五成碰撞机会。本文用教室同生日的例子讲清碰撞攻击的原理，以及 MD5、SHA-1 是怎么倒下的。