聊天截图、PDF、语音、照片和表格，如今几乎出现在每一起纠纷中。几乎每位律师都听过对方的质疑："这张截图可能被修改过"。回应这种质疑的技术手段有个名字——保管链（chain of custody），而它最基本的工具就是哈希值。
本文不讲晦涩的法律和技术术语，说明哈希如何帮助固定电子证据、它能证明什么、不能证明什么，以及如何为自己的文件建立简单、一致的记录。
本文仅供参考，不构成针对具体案件的法律意见。
问题所在：电子文件没有"原件"
纸质合同有实物原件——签名、可见的涂改和时间留下的痕迹。电子文件没有：每份副本都与上一份完全相同，精心的修改不会留下可见痕迹。所以单独一张截图说服力很弱——光看图片，没人能判断它显示的是屏幕上的真实内容，还是别人想让你看到的内容。
法官、鉴定人和对方当事人问的始终是同一个问题：怎么知道这个文件就是当初取得的那一个？
什么是保管链
保管链是证据从发现起所经历一切的时间顺序记录：谁取得的、何时、如何取得、存放在哪里、谁接触过、做过哪些处理。我国司法实践对电子数据的真实性和完整性审查越来越严格；最高人民法院关于互联网法院审理案件的规定也明确，当事人通过电子签名、可信时间戳、哈希值校验、区块链等技术手段收集、固定和防篡改的电子数据，经审查能够证明其真实性的，应予确认。国际上处理电子证据的参考标准是 ISO/IEC 27037。
这一逻辑适用于任何电子证据：记录越完整、越可核验，被质疑篡改的空间就越小。
哈希值在哪里起作用
SHA-256 哈希值是文件的"指纹"：哪怕最微小的改动，也会产生完全不同的哈希值。在保管链中，它的作用相当于电子封条：
- 取得证据时，计算文件的哈希值并记录下来；
- 之后任何时候——鉴定时、庭审时、多年以后——再计算一次；
- 两次结果一致，就说明文件与取得时逐位相同。
鉴定人员复制扣押的手机或硬盘时正是这样做的：分别计算原始介质和副本的哈希值，并写入鉴定意见。概念详解见 SHA-256 哈希与文件完整性。
哈希能证明什么——以及不能证明什么
这是最容易混淆的地方，有必要说清楚。
哈希能证明：文件自计算并记录哈希值之时起没有发生变化。
哈希不能证明：
- **截图在计算哈希值之前没有被修改过。**如果有人先伪造图片再计算哈希值，哈希值"保证"的就是伪造品；
- 文件由谁创建；
- 文件何时创建——操作系统的日期可以随意修改；
- 内容是真实的——只能证明内容没变。
也就是说，哈希值的证明力取决于记录的时间和方式。在取证当时、由第三方、以可靠的时间计算的哈希值，远比当事人自己在几个月后计算的更有分量。
"怎么判断截图有没有被修改？"
这是搜索最多的问题之一，诚实的回答是：**仅凭图片本身，没有任何在线工具能给出保证。**边缘错位、字体不一致、阴影不协调等迹象可能引起怀疑，但证明不了什么——而精心的修改根本不会留下这些痕迹。
稳妥的做法正好相反：与其事后证明截图没被改过，不如一开始就用让篡改难以成立的方式固定证据：
- 在源头固定对话或网页（原设备、原始链接），而不只是裁剪后的图片；
- 优先保存原始文件，而不是截图（聊天记录导出、从系统下载的 PDF、原始录音文件）；
- 在取得时就计算并记录哈希值；
- 证据关键时，借助具有规范方法的第三方：公证机构的证据保全公证、司法鉴定机构，或记录元数据、哈希值和可信时间戳的电子存证服务。
分步操作：用哈希值固定电子证据
对律所或企业日常的文件——收到的合同、付款凭证、系统导出的 PDF、录音——一个简单的流程就能大大增强证据效力：
- 保留原始文件，保持收到时的状态。不要打开后覆盖保存，不要转换格式，不要"美化"图片；
- 计算 SHA-256 哈希值——例如把文件拖进完整性校验工具，它在您的浏览器中计算，不会把文件发送到任何地方；
- 另行记录：文件名、哈希值、日期和时间、取得人、来源（某某的邮件、某系统、某设备）；
- 用独立方式固定时间——把记录用邮件发给自己和客户，就形成了外部留痕；敏感案件可使用可信时间戳或区块链存证服务；
- 把原件存放在受控位置，最好另备一份副本——每份副本的哈希值都必须相同；
- 提交证据时，在材料或附件中注明哈希值，便于任何人重新计算核对。
记录示例（简单模板）
| 项目 | 示例 |
|---|---|
| 文件 | 聊天记录导出_2026-09-14.pdf |
| SHA-256 | 0dcc72df…33dec714（完整 64 位） |
| 取得时间 | 2026-09-14 10:32 |
| 取得人 | 负责人姓名 |
| 来源 | 在客户手机上导出，见证人：…… |
| 存放 | 案卷文件夹 + 外部存储介质副本（哈希值相同） |
这份签名并注明日期的记录，就是完整性说明的雏形——一份声明所交付每个文件哈希值的文件。
在材料或报告中如何引用哈希值
清晰、便于核对的格式：
文件"已签署合同.pdf"（证据 3）的 SHA-256 哈希值为 0dcc72df86128c750bd88c5347d66a064f1c9137ff3a2ac0221c4feb33dec714，计算于 2026 年 9 月 14 日，可使用任何 SHA-256 计算工具核验。
务必注明算法（SHA-256）、完整数值（64 位）和计算日期。
注意：这些操作会在不知不觉中破坏保管链
- 打开后保存文件（程序会重写元数据，哈希值随之改变）；
- 在微信等应用中以普通图片发送照片（应用会重新压缩；请以文件/原图形式发送）；
- 转换格式（Word 转 PDF、HEIC 转 JPG）后丢弃原件；
- 对已电子签名的 PDF 进行合并、压缩或拆分——新文件不再带有有效签名。始终保留原件不动，在副本上操作。
常见问题
带哈希值的截图能作为证据吗？ 哈希值能证明文件在记录之后没有变化，从而增强证明力，但不能证明截图在此之前没有被修改。证据的分量取决于整体情况：来源、取证方法、计算哈希值的时间、证人、公证或鉴定意见。
在鉴定报告中记录证据的 SHA-256 有什么用？ 让任何人在任何时候都能核实：被分析的证据与当初取得的证据完全一致。没有记录哈希值，这种核实就无从谈起。
把文件移到另一个文件夹会影响证据吗？ 不会，只要内容不变——哈希值保持不变。更多类似问题见文件哈希值：12 个常见问题。
哈希值和时间戳是一回事吗？ 不是。哈希值证明文件没有改变；时间戳证明这个哈希值何时已经存在。两者结合，就能证明这个确切的文件在该日期已经存在。区别详见文档加密、哈希、签名与时间戳指南。
在线计算机密证据的哈希值安全吗？ 取决于工具。在 RoseLab 的校验工具中，计算在您的浏览器内完成，文件不会发送到任何服务器——证据不会经过第三方。