检查下载来源

确认当前页面地址和浏览器下载列表中显示的文件来源。Windows 下载按钮指向阿里云 OSS；下载的是 ZIP 压缩包，先解压后再检查安装程序。HTTPS 能保护传输过程，但不能单独证明文件安全或发布者身份。

检查数字签名

  1. 右键解压后的安装程序，打开“属性”。
  2. 如有“数字签名”选项卡，选择签名记录并打开“详细信息”，查看签名者和验证状态。
  3. 将结果与可信的发布说明核对。签名异常或发布者无法确认时，先核实来源。

有效签名有助于验证签名者和签名后文件是否改变，但不能单独保证软件没有风险。如果没有数字签名选项卡，不能仅凭文件名认定发布者；先向可信发布渠道核实，再决定是否运行。

有可信参考值时核对 SHA-256

在 PowerShell 中运行以下命令，将路径替换为实际文件路径：

Get-FileHash -LiteralPath 'C:\Downloads\installer.exe' -Algorithm SHA256

ZIP 压缩包与解压后的安装程序是不同文件，哈希值也不同。请先确认参考值对应的是 ZIP 还是安装程序。将结果与可信来源提供的同一文件、同一版本的完整 SHA-256 值比较。没有可信参考值时，计算结果只能用于之后识别同一文件，不能证明来源或安全性。

遇到异常怎么办？

校验值不一致、签名验证失败或系统明确提示恶意软件时，停止运行并核实文件。查看下载与安装常见问题，记录错误提示以便进一步排查。