▎一块硬盘从被扣到进法庭，中间隔着好几双手
辩护人最常问的一句话，往往不是"这数据能不能证明他有罪"，而是——
"你怎么证明，这块盘里现在的数据，还是当初扣下来时的那批数据？"
这个问题不好答。硬盘会经手侦查人员、送检、鉴定机构、法庭，每一步都可能被质疑动过手脚。光靠一句"我们没改"没有意义，法庭要看的是可核验的痕迹。
现在通用的答案是三样东西：镜像、写保护、哈希值。它们干的是同一件事——把"有没有被动过"从一句口头保证，变成一件能查、能复核的事。
▎一、先弄清：完整性不等于"没改过"
《最高人民法院关于适用〈中华人民共和国刑事诉讼法〉的解释》（2021）把完整性放进了真实性审查里——电子数据不完整，真实性就无从谈起。第一百一十四条写得更直接：不真实、不完整的电子数据，不得作为定案的根据。
但有个常被误读的地方：数据被增加、删除、修改过，不等于它就不真实。 很多情况下，增删改恰恰是正常使用留下的痕迹（系统日志滚动、缓存清理）。关键是有没有说明，以及这个增删改对证明对象有没有影响。
所以完整性的准确含义是：改没改，能查得出来。
法发〔2016〕22 号（两高一部电子数据规定）第五条给了六种保护完整性的办法，可单用也可叠加：扣押封存原始存储介质、计算完整性校验值、制作封存备份、冻结、录音录像，以及其他方法。下面说的三样，就落在这几条里。
▎二、镜像：不是"复制粘贴"
很多人以为取证就是"把文件拷出来"。不是。
镜像是逐扇区复制——不挑文件，把整块介质从头到尾照搬一份，包括已删除的、被文件系统标记为"未分配"的区域。这决定了后面能不能恢复出被删的内容，也决定了"你看的和原件是不是同一块盘"。
《法庭科学 电子数据收集提取技术规范》（GA/T 756-2021）写得很直接：对能复制导出成数据文件的电子数据，复制导出并计算完整性校验值。
《公安机关执法细则》（2024）对镜像提取该记什么也列了清单：原始存储介质的品牌、型号、容量、序列号、识别码、用户标识，以及存放位置、使用人、保管人。这些看似琐碎的字段，正是法庭上确认"这份镜像对应的就是那块盘"的凭据。
▎三、写保护：让"我没动过"变成可验证的事实
写保护有硬件和软件两种，作用只有一个：读取检材时，杜绝任何写入。
它对付的是最尴尬的一种质疑——"你们提取的时候，自己的操作把数据改了怎么办"。带上写保护设备，全程对检材只读，这项质疑就失去了落点。
配套的是封存：扣押后封条封好、拍照记录封口状况、由取证人员、见证人、持有人签名或盖章。封存状态的照片能否清晰反映封口，审查时是要看的。
▎四、哈希值：数据的指纹，也是最容易被误解的东西
哈希值（用散列算法算出的值）常被叫作"电子数据指纹"。它的数学特性决定了用处：固定长度、单向不可逆、任何一个字节变了，结果就面目全非。取证时算一次，送检或开庭时再算一次，两次一致，就说明这中间数据没被动过。
但实务里的坑，比教科书多。
两次比对，必须用同一种算法。 不同算法对同一份数据算出的值不能换算，算法不同就无从比对。
MD5 不建议再用。 它已被证明可以人为构造碰撞。国家标准《法庭科学 电子数据文件一致性检验规程》（GB/T 29361-2023）第 5.3.2 条要求分别计算检材文件和样本文件的哈希值，宜选用附录 A 所列算法——SM3、SHA-256、SHA-512、SHA3-256、SHA3-512。实践中更稳的做法是选两种以上算法，或者算完再逐比特比对一遍。同样，GB/T 29360-2023（电子数据恢复检验规程）在检验环节也要求计算检材的完整性校验值，并宜对具备条件的检材做保全备份。
Office 文件另存一次，哈希值就会变。 因为 .docx/.xlsx 里带着时间戳、路径等元数据，打开另存会更新这些信息，字节序列随之改变。这不是篡改，但拿另行保存的副本来比对，就会"对不上"。纯数据文件（压缩包、音视频、图片）不受影响。
书面记录上哈希值一致，不等于数据一定同一。 这是刘品新教授反复提醒的一点——哈希值本身可能被"倒签"。所以除了比对校验值，还要看时间、大小、日志等属性，必要时抽样比对内容。
▎五、到了法庭上，具体怎么用
站在质证一侧，三个问题最有杀伤力：校验值算了吗？用的什么算法？两次比对是不是同一算法？
站在举证一侧，也别走另一个极端。司法实务反复强调：并非所有电子数据都有数字签名或数字证书，不能因为没有就否定其真实性；提取过程不能完全复现，也不能仅凭这一点否定。技术问题拿技术标准去谈，不该拿"不够完美"一票否决。
最后说个实际的——如果你手里有一份电子合同要上法庭，除了哈希值，还有什么能证明它没被改过？（前几篇在合集「电子数据取证」里，可以连着看）