如何确认开发环境通过代理下载的依赖没有损坏
先比锁文件 integrity，再做归档与解压三层校验；哈希不符时先换官方源归因，半包文件和缓存污染要用续传后复测与清缓存对照排除。
依赖“下载成功”不等于“没有损坏”。npm、pnpm、pip、Go、Maven 各有各的可信校验来源，但并非都默认开启、也不是都记录在锁文件里；正确顺序是先确认项目启用了哪种校验并比哈希，再看归档和安装结果。代理IP 参与下载时，半包文件、缓存污染和镜像未同步是三类最常见的假成功，下面按校验顺序拆开。
先用锁文件中的 integrity 校验依赖包
npm 的 package-lock.json、pnpm 的 pnpm-lock.yaml 里都有 integrity（sha512），安装时默认参与校验。pip 需要显式 --require-hashes 并固定版本，哈希才生效。Go 的 go.sum 在模块下载时校验，go mod verify 只校验本地模块缓存是否被改动过，两者覆盖范围不同。Maven 仓库可能提供 .sha1/.sha256，是否强制校验取决于仓库元数据和构建配置，需要在项目里显式配置并验证；Gradle 用 verification-metadata.xml。先确认校验已启用，再谈安装前后各比一次。
npm： 哈希记录在 package-lock.json 的 integrity，可通过 npm ci 时自动校验 校验。
pnpm： 哈希记录在 pnpm-lock.yaml 的 integrity，可通过 pnpm install --frozen-lockfile 校验。
pip： 哈希记录在 requirements 的 --hash，可通过 pip install --require-hashes 校验。
Go： 哈希记录在 go.sum，可通过 go mod verify 校验。
Maven： 哈希记录在 仓库元数据中的校验和（算法依仓库而定），可通过 按项目配置比对 校验。
锁文件里没有哈希，说明项目没启用完整性校验，先补这一层，再谈代理。
从下载包、归档文件和解压内容逐层校验
第一层证明包没被替换，第二层证明下载字节完整，第三层才能发现解压失败、权限错误和换行符被改写。只做一层会漏：代理返回 200 但内容是错误页，包管理器哈希能抓到；解压后文件缺失，只有第三层能抓到。
解压后可以抽查文件数量、总大小和关键文件哈希，但这只能说明抽查范围与可信基准一致。若要确认全部文件完整，应比较完整文件清单或逐文件摘要；采用抽检时，要说明覆盖范围。
检查代理中断后的断点续传和文件完整性
代理重置连接后，本地可能留下半包文件。文件大小对得上不能证明完整：只有固定同一来源、同一版本与同一校验算法后，哈希不一致才说明当前下载结果与基准不符，接着区分缓存、镜像和上游变化。续传要用 Range，同时带上强 ETag 或 If-Range 等资源验证条件，记录起止偏移和最终可信摘要；200（从头下载）与 206（追加）是两个分支，要分别确认走了哪一个，续传完成后重新校验，不能凭文件大小判断。
服务端不支持 Range 时，客户端会从头重下；这时要确认旧文件被覆盖，而不是和新数据拼接。
核对包管理器使用的代理协议和认证参数，可参考代理设置帮助。
对比缓存命中和重新下载后的依赖校验结果
对照实验只改缓存一个变量，并且不要清共享缓存：冷缓存下载放在独立临时缓存目录（npm 用 --cache 指定，pip 用 --cache-dir，pnpm 用独立 store），暖缓存复用同一目录再装一次，比较哈希和耗时；实验结束后删除临时目录，原缓存保持可用。npm cache verify、pnpm store status 能反映各自缓存状态，pip cache dir 只显示缓存路径，不能当作缓存健康检查。
清缓存后哈希变了，且来源、版本与算法都没变时，说明缓存里的包与基准不符，但仍要排除镜像切换和上游重发；两次哈希都对但安装失败，问题在解压或权限，不在下载。
依赖哈希不一致时检查来源并记录结果
依次检查官方源、镜像源和 TLS 证书链
先换官方源复测，再按现象归因：
官方源校验仍不符时，先核实版本、校验算法和可信基准，再判断依赖发布是否异常。
官方源校验通过而镜像源失败时，检查镜像是否同步到相同版本。
两边都校验失败且伴随证书错误时，再检查证书链和代理是否重新签发证书。
企业代理替换证书时，先把企业 CA 导入信任库再复测，不要直接关闭校验。
记录依赖版本、校验值和下载来源
记录包名和版本、锁文件与下载文件的哈希、缓存是否命中，以及解压后的文件数和总大小。
验收要求三层校验全过，且清缓存重下结果一致。安装影响到共享缓存或 CI 其他任务时，立即停止并恢复缓存目录。
安装或下载异常仍未定位时，可从全球代理帮助中心查找接入文档。
校验机制的官方说明：
- pip 哈希校验（
--require-hashes） - Go 模块校验（
go.sum与go mod verify）
常见问题
锁文件哈希和实际下载哈希不一致，先查什么？
先换官方源复测，区分镜像问题和链路改写；再确认是否启用了会替换内容的代理。
代理断了以后继续下载，文件还能用吗？
不一定。大小正确不能证明内容完整；续传完成后按来源、版本和校验算法重新比对，不一致再区分缓存、镜像与上游变化。