简介：一套基于Verilog的SHA256完整实现源码包，面向数字电路学习者、密码学爱好者及FPGA开发入门者，用于在硬件层面理解SHA256算法核心机制，掌握用硬件描述语言搭建数据填充、消息调度、压缩函数等模块的思路。资源合计18个文件、约13KB，以Verilog源文件(.v)为主，同时包含Rust参考实现(.rs)、Cargo配置(.toml/.lock)、Makefile构建脚本、Python辅助脚本及README说明，便于对照软件与硬件实现差异，快速仿真与验证。目前已有145人学习下载。通过分析源码，可以看清SHA256从数据填充到64轮压缩的完整流水，理解初始化变量、消息扩展、循环移位等关键步骤在硬件中的表达方式；源码的模块化划分也有助于后续在此基础上做并行化吞吐优化或资源面积权衡实验，很适合作为硬件算法设计的进阶练习。 很多朋友第一次接触数字IC设计，都喜欢用串口、I2C、流水灯这类经典模块来入门。但说句实在话，这些例程练的是语法和时序控制的基本功，真要理解状态机为什么是硬件的灵魂、理解数据通路的调度方式，靠串口收发还远远不够。我前一阵整理了自己写的这套SHA256算法完整Verilog源码，用下来觉得它才是特别理想的练手项目——复杂度适中，既有数学计算的相对规则性，又有状态调度和位宽控制的细节考验，非常适合做深度的学习素材。
SHA256不用多解释了，SHA-2家族里应用最广的成员，比特币挖矿、数字证书校验、固件完整性检测到处都有它的影子。它从硬件实现角度来说其实并不难，核心就是填充、扩展、压缩、累加这四步，但真正把它从C语言的写法翻译成可综合的RTL，中间藏着不少值得反复琢磨的点。这篇文章我就拿这套源码当样本，把我拆解设计思路、处理关键细节、仿真排查问题的那一套过程完全摊开，希望给正在找进阶练手项目的朋友一些参考。
1. 为什么推荐SHA256作为Verilog进阶练手项目
先聊点实际的：SHA256这个项目到底好在哪，值得专门写一篇文章来讲素材。
1.1 复杂度适中，适合"一次完整的RTL设计"训练
做设计最怕的是什么？要么太简单练不到东西，要么太复杂迟迟跑不通。SHA256卡在中间这个区间非常舒服：完整算法包括消息填充、64轮扩展调度、64轮压缩迭代这几大块，逻辑链路长，但每个环节本身并不反人类，不会出现那种推导半天也看不懂的数学。一个熟悉C语言版本的同学，基本可以在一周左右理清脉络，再用一两周完成RTL编码和仿真验证。
更重要的是，SHA256具备了真实项目中普遍存在的数据依赖关系：消息调度需要一轮轮递推，压缩函数的每一步计算都依赖上一轮的结果，这决定了硬件不能靠一窝蜂的组合逻辑直接跑完整个流程，而是需要时序状态机来调度。这种分布式的、多阶段的处理方式，恰好是数字IC设计最核心的思维方式。通过这个项目，你能比较完整地掌握有限状态机的规划、数据寄存器的打拍、握手信号的生成等基础但实用的技能组合。
1.2 好验证、好调试，反馈路径清晰
学习最怕没有反馈，而SHA256的反馈极其明确——标准库里有大量公开的测试向量（NIST的Official Test Vectors），比如输入空字符串、输入"abc"，输出都有唯一确定的哈希值。你的RTL写完之后，只要仿真波形里最终的输出和标准解答一模一样，就是对的；任何一位对不上，就能知道需要回去排查。这种“是非分明”的验证特性，对学习者来说非常珍贵，能省下大量排查“是不是算法本身就是模糊的”这种无意义的时间。
同时它的模块化程度很好，每个子模块都可以单独拉出来写testbench做验证。比如消息填充模块可以单独测试，K常数表可以单独抽取核对，这样调试过程从黑盒变成了灰盒，逻辑定位精准很多。这种分而治之的调测方式也是从业者真实的工作习惯。
2. 方案选型说明：直接算还是流水线算
我拿到这个题目做的第一个决定，不是开始敲代码，而是先想清楚架构。
2.1 本轮次设计选择：低资源顺序迭代
SHA256的硬件实现大体上有两条路线：一条是拉开面积暴力流水化的高速实现，把64轮压缩全部展开，每个时钟周期处理一个或几个轮次的数据，吞吐量很高，但资源消耗也大；另一种是资源优先的顺序迭代方式，只有一个压缩模块，64轮计算在状态机的控制下复用同一份硬件，时钟周期数量明显更多，但面积紧缩。
我这套源码选的是后者，即串行迭代架构。原因很实际：面向学习场景，面积和时序上的精简比极致吞吐率更有价值，顺序迭代能比较直观地呼应算法本身的逻辑顺序，初学者理解数据流向叶家不会一头雾水。模块只有一个主状态机和一小组运算单元，波形跟踪和时序分析都轻松不少。如果你将来去做高性能哈希引擎，再在这个基础上改造成流水线结构，也会因为有顺序版本的基础而轻松很多——你能直观地看出哪个操作是瓶颈，哪里可以插入寄存器打拍。
2.2 接口协议与顶层信号规划
设计一开始，我就把对外接口定成了标准的启动-忙-完成式握手，而不是简单地拉高一个使能就往外吐数据。
input wire clk, input wire rst_n, input wire start, // 启动信号，高电平有效一个周期 input wire [511:0] data_in, // 待哈希的数据块（已补位） output reg busy, // 忙碌指示，计算期间保持高 output reg valid, // 输出有效信号 output reg [255:0] hash_out // 256位哈希结果关注输入数据[511:0]，这在刚开始容易让人疑惑：SHA256一次不是处理512比特消息块吗？没错，这样设计是因为消息填充工作在模块外部提前做好，核心模块只负责对完整的512比特数据块轮次计算。这个取舍推高了顶层模块的复杂度下限，却能明显降低核心逻辑的耦合度，对于学习者来说各模块边界更清晰，也便于独立的功能验证。
顶层内部呢，我分了这么几个子模块：
- 消息调度模块（W generation）：把输入的512比特数据块展开为64个32比特字，W[0]到W[15]是原始数据，W[16]到W[63]由递推公式产生。
- 压缩模块（Compression）：执行64轮的A-H寄存器更新，里面还包含sum0、sum1、Gamma0、Gamma1这些位运算组合。
- 控制状态机（Controller）：统筹整个计算流程，从加载初始向量到逐步执行64轮压缩，最后产生输出有效信号。
这三块配合，就是整套源码的主体框架。
3. 核心细节拆解：填充、扩展与压缩
现在进入本文的干货区，也是代码里最难的部分。我会把每一步的关键思路和Verilog实现时的特殊注意点一块说。
3.1 消息填充逻辑的设计
SHA256在计算前必须把任意长度的消息补齐到512比特的整数倍。标准流程是：在消息末尾补一个"1"，然后补若干"0"，直到长度模512余数为448，最后再用64比特保存原始消息的长度（单位是比特）。我对这个预处理单独写了一个模块，你可以把它挂在主模块外面，也可以把它集成到顶层。
这里有个技巧：练手时建议把数据长度限定在55字节以内，这样整个消息加填充后正好落在单个512比特块内，不需要处理跨块的数据缓冲逻辑，烦人指数直线下降。以下是我在填充模块里用到的核心寄存器规划：
// 512比特缓存，默认全0 reg [511:0] padded_block; // 处理流程 always @(*) begin padded_block = {message, 1'b1, {remaining_zeros{1'b0}}, bit_length}; end当然，"补零数量"和"比特长度"的位置需要严格对齐，这里建议先把原始消息存成8比特为单位的reg数组，再映射到padded_block的对应字节段位，比直接用比特串拼接要容易读懂。真正做多块消息处理时，还需要再设计一个跨块状态，在每两个512比特块之间衔接数据剩余部分，这在我的整套源码里也有相应的分支实现，初学可以先不干涉。
3.2 W消息调度的Verilog实现要点
W调度是理解整个SHA256硬件消耗的关键点。算法伪代码里W[t]有这样的逻辑：前16个W直接取数据块的分段，后48个W需要靠递推式子算出，每次依赖W[t-15]、W[t-7]、W[t-2]等历史值。如果直接用面积堆，每轮都临时拉逻辑块出来算，综合出的面积非常不划算；更好的做法是实现环形缓冲区，用16个32比特寄存器循环存储最近16个W值，不断滚动更新。
我在源码里用了一个更直观的写法：直接用reg [31:0] w_mem [0:63]存下所有64个W值，状态机每轮按索引从中取数。这种方法牺牲一点寄存器数量换取代码可读性，学习阶段非常值得。你甚至可以在testbench里用$display把W[0]到W[63]全部打印出来，和Python运算结果逐一比对，把正确性验证做得明明白白。
核心递推式在这套源码里长这样：
w_mem[i] <= w_mem[i-16] + (ror(w_mem[i-15], 7) ^ ror(w_mem[i-15], 18) ^ (w_mem[i-15] >>> 3)) + w_mem[i-7] + (ror(w_mem[i-2], 17) ^ ror(w_mem[i-2], 19) ^ (w_mem[i-2] >>> 10));注意这里的ror是循环右移，而>>>是逻辑右移，两者在Verilog里的写法和综合起来的行为完全不同，很容易被忽略。
3.3 压缩函数的数据通路实现
压缩函数是SHA256的心脏，每轮都要用上一轮的A-H结果和当前W、K值更新寄存器。它的硬件实现相对直接，就是一组并行的组合逻辑加数据选择器。下面这段是压缩轮内最核心的更新逻辑简化版：
// 64轮压缩函数核心 wire [31:0] sum0 = {A[21:0], A[31:22]} ^ {A[12:0], A[31:13]} ^ {A[6:0], A[31:7]}; wire [31:0] sum1 = {E[25:0], E[31:26]} ^ {E[10:0], E[31:11]} ^ {E[5:0], E[31:6]}; wire [31:0] ch = (E & F) ^ (~E & G); wire [31:0] maj = (A & B) ^ (A & C) ^ (B & C); wire [31:0] t1 = H + sum1 + ch + K[i] + w_mem[i]; wire [31:0] t2 = sum0 + maj; // 下一轮状态更新 H <= G; G <= F; F <= E; E <= D + t1; D <= C; C <= B; B <= A; A <= t1 + t2;很多第一次用Verilog实现SHA256的人，就是在这一块的位宽和拼接上摔了跟头。最典型的错误是：A-H虽然是32比特寄存器，但计算过程中的中间和t1、t2可能携带进位，如果不加显式位宽截取，仿真时会出现高位不定态。
我的建议是全部用32比特wire定义中间量，并在赋值时自然截断高位。不要在这个环节尝试用64比特中间量去“保护精度”，反而会导致综合器报位宽警告。另外，K常数的存储我直接用了localparam数组，64个32比特常数写死，不占用BRAM资源，综合时优化为常量逻辑。
4. 仿真验证的完整路径
写完RTL不代表完事，验证才是重头戏。我仿真用的工具是Vivado内置的XSim，当然用ModelSim流程也一样。整体的testbench可以分成下面几个步骤来搭。
4.1 构建自检测testbench
我的testbench里不是简单看波形，而是直接做了自动比对：预先把标准答案写成parameter，等valid信号拉高时，用$display打印实际输出和期望值，完全一致则打印PASS，否则打印FAIL。这段判断逻辑能省去开着波形图一个个比特对的痛苦。
// 自动比对核心 always @(posedge clk) begin if (valid) begin if (hash_out == EXPECTED_HASH) $display("[%0t] TEST PASS", $time); else $display("[%0t] TEST FAIL: got %h, expected %h", $time, hash_out, EXPECTED_HASH); end end先说最常用的三条安全向量：空字符串、字符串"abc"、字符串"abcdbcdecdefdefgefghfghighijhijkijkljklmklmnlmnomnopnopq"。这三条分别对应0比特、24比特和448比特长度的消息边界，尤其第三条长度计数字段的处理有特征，跑通它们，基本可以说明填充模块和核心运算模块的工作是正确的。
4.2 仿真中经常踩的坑
第一个坑：initial复位时序。记得复位信号至少要拉低两个时钟周期，并且释放时尽量避开时钟上升沿，否则状态机初始状态可能出现亚稳态采样。在仿真里虽然不一定崩，但波形不稳会影响判断。
第二个坑：握手信号重叠导致的数据覆盖。我的设计里valid拉高后又过了几个周期才允许下一次start拉高，这个间隙写testbench时不注意就会提前触发，导致状态机读到了半更新的W值。解决办法是在start端加一个最小的周期间隔约束，甚至用一个小计数器控制。
第三个坑：K值和W值在流水线上的对齐问题。如果每轮压缩里K[i]和W[i]通过不同的路径到达压缩函数，时序上可能不在同一个周期对齐。顺序迭代架构里这个坑不明显，但当你改成流水线或部分展开时，K、W的对齐会成为主要的调试焦点。提前在testbench里打印当前周期的K索引和W值，可以大大加速这个问题定位。
5. 设计中的经验总结与拓展思路
以上是整个实现的主干，这里再补充几条实践心得，以及拿到源码后你可以怎么“玩”起来的建议。
5.1 实战心得：这些细节是普通教程不会告诉你的
尽量使用阻塞赋值还是非阻塞赋值？SHA256核心中的数据通路由多级组合逻辑构成，寄存器更新当然用非阻塞赋值。但组合逻辑中间变量的中间结果部分，可以用阻塞赋值或wire声明。如果一个模块内部混用了两种赋值方式且逻辑复杂，综合时容易出现仿真-综合结果不一致，我的建议是：计算中间量全部用wire+assign，寄存器更新统一用
<=。状态机编码方式的选择：状态机可以用独热码、格雷码或二进制编码。SHA256这种64轮循环的逻辑，我用了二进制计数方式，因为状态转移非常规律，而且占用寄存器少。如果你觉得状态机跳转不够直观，可以在仿真阶段改用枚举类型定义状态名，定位bug时更方便显波形。
不要忘了综合时的时序约束：学习阶段很多朋友只跑仿真，不跑综合。但这套代码如果跑综合，建议先给clk设定一个合理的约束，比如10ns周期，再去布局布线看看时序报告。SHA256中压缩函数的关键路径主要在加法器链和异或网络上，如果时序报红，尝试在W生成与压缩函数之间打一拍寄存器，这是最直接也最有效的优化手段。
5.2 从练手到实战的改造路径
如果你已经把这套顺序迭代的SHA256源码吃透了，不妨试着往以下几个方向再推一步：
第一个方向是提高吞吐率。把内部压缩函数的64轮迭代局部展开为每周期处理2轮或4轮，通过增加硬件组合逻辑换吞吐翻倍。展开时需要关注W生成和压缩函数之间的输入依赖，需要插入相应深度的流水线寄存器，这块值得多做几种方案对比。
第二个方向是接口封装的外设集成。把SHA256计算引擎封装为带有FIFO接口的IP核，对接总线或精简指令集CPU，做成可被软件调用的硬件加速器。这个扩展特别适合做SoC方向课题的同学，通过寄存器配置任务，用中断通知哈希完成，一整套机制做下来收获非常大。
第三个方向是扩展算法理解。SHA256的结构和SHA384、SHA512同属于SHA-2家族，后者只是把字长从32比特扩展到64比特、轮函数常数调整了一下。把Verilog参数化改成不同字长版本，是一个延伸练习的好点子——一旦你参数化得够好，验证只需要更换K表和初始向量即可运行，工程可维护性提升一个档次。
5.3 老生常谈但很重要的学习方法
我自己学习数字IC这条路走过来，最大的感受是：动手实现一个算法模块，比翻十遍教科书都有用。SHA256是一个算法成熟、参考实现丰富、验证标准公开的好对象，非常适合作为“第一次独立工程体验”。我强烈建议参考着源码学习时，先别急着跑仿真，可以自己先不看代码，只用模块框图手写一个RTL版本，画好状态机转移图，卡住的时候再对照源码找差异。这个“盲写-对照-反思”的过程，是提升硬件思维最快的方式。
最后再分享一个我测试时惯用的小办法：SHA256的中间变量非常多，直接在testbench里抓w_mem和a~h寄存器的值，把它导出成文本，再到Python脚本里算出同轮的理论值来diff。哪一轮出现不一致就去查那一轮的输入拼接，这种精准切段排错法，能让你的调试时间缩短一半都不止。这套源码的知识密度不低，但如果你能把它彻底吃透，后续看AES、SM3这类对称哈希和分组密码算法的实现，基本都能做到心里有底，技术成长的边界就是这样一点点撑开的。
本文还有配套的精品资源，点击获取
