客户端安装包校验：数字签名与文件指纹双保险

第一步：只从官方渠道获取安装包

一切校验的前提是你拿到的是“可能被篡改的官方文件”，而不是来源不明的文件。第三方下载站、群文件、广告位下载按钮都有可能被替换。请始终以官方公开说明的渠道为准。

第二步：查看数字签名信息

正规安装包会带有发布方的数字签名。查看方式是右键安装包，打开属性，在“数字签名”标签中查看签名状态与签名者名称。签名状态显示正常、签名者名称与官方主体一致，才算是通过第一层校验。

• 签名状态应为有效，而不是“未知”“无效”或“已过期”。
• 签名者名称应与官方公开的主体名称一致，而不是模糊的通用名称。
• 若完全没有任何签名信息，说明该安装包极可能被重新打包。

第三步：核对文件指纹（哈希值）

文件指纹是根据安装包内容计算出来的一串字符，只要文件被改动一个字节，指纹就会完全不同。官方有时会公布安装包的指纹值，供用户自行比对。核对步骤并不复杂：

1. 1在官方渠道找到该版本公布的指纹值（常见为 SHA-256）。
2. 2用系统自带的计算工具或命令行算出本地安装包的指纹。
3. 3逐字符比对两串值，完全一致才继续安装。
4. 4若不一致，删除该文件并从官方渠道重新获取。

小结

数字签名确认“是谁发布的”，文件指纹确认“内容有没有被动过”。两者结合，你就能在点击安装之前完成一次扎实的校验，把风险挡在门外。