如何确认客户端下载来源安全：官方发布页与校验值

三关核验：入口、校验值、签名

确认一个电脑客户端的下载来源是否安全，可以按三关依次核对：入口是不是项目官方发布页或机场用户中心；下载到的文件校验值是否与发布页公布的一致；安装包的数字签名与系统安全提示是否符合预期。入口决定文件“是谁发的”，校验值证明文件“没被换过”，签名提供系统层面的额外佐证。三关都过，再给客户端授予 TUN、后台服务这类系统权限。

本文只讲核验方法，不提供任何下载链接。账号与订阅层面的安全，见 隐私与账号安全；各类客户端的定位与选择，见 桌面端客户端：Windows 与 macOS，以及本系列的 桌面端客户端专题页。

为什么客户端来源比功能更重要

代理客户端的位置非常特殊：它接管电脑的网络流量，读取并保存订阅链接，在 TUN 模式下还以管理员权限运行驱动或后台服务。一个被篡改的安装包，可以在功能完全正常的同时，把订阅链接、浏览记录甚至其他凭证发送出去。用户通常很难从使用体验上察觉异常，因此核验必须发生在安装之前。

同样的道理适用于后续更新。客户端内置的自动更新通常从官方发布渠道获取新版本，相对可靠；但如果你是看到群聊里有人转发“新版”才去更新，就等于重新走了一遍不受控的下载流程。更新时也应回到官方入口，按同样的步骤核验。

第 1 关：确认入口是真的

开源客户端

开源客户端的官方入口通常是项目在代码托管平台上的发布页面。核对时注意：

• 项目归属：看项目所属的账号或组织名称，与项目说明文档、社区中广泛引用的名称一致；名字只差一两个字母的复刻项目需要警惕。
• 复刻与原项目：复刻项目页面上会注明“复刻自某项目”，除非你明确知道为什么要用复刻版，否则使用原项目。
• 人气不是证明：关注数、下载量可以被刷高，只能作为辅助参考。
• 搜索结果中的广告：搜索客户端名称时，排在前面的可能是付费推广的下载站，这类站点经常捆绑其他软件或提供修改版。

机场自研客户端

自研客户端只从机场官网或登录后的用户中心下载。核对浏览器地址栏的域名与平时登录的一致；客服在聊天中发送的安装包、群文件里的“新版本”，都不应直接安装。品牌资料中哪些机场提到自研客户端，可在 机场品牌库 的品牌详情页查看。

第 2 关：核对校验值

很多发布页会在文件列表旁或说明中公布 SHA-256 等校验值。下载完成后，在本机计算一次并对比。

Windows PowerShell：

Get-FileHash .\下载的文件名 -Algorithm SHA256

Windows 命令提示符也可以使用系统自带的证书工具计算哈希：

certutil -hashfile 下载的文件名 SHA256

macOS 终端：

shasum -a 256 下载的文件名

对比时逐字核对完整字符串，而不是只看开头几位。不一致时不要安装，删除文件后从官方入口重新下载。

需要理解校验值的边界：它证明的是“文件与发布页公布的一致”。如果你访问的本来就是仿冒页面，仿冒者公布的校验值也会与仿冒文件一致。所以第 2 关必须建立在第 1 关之上。

第 3 关：看签名与系统提示

Windows

右键安装包，打开属性，如果有“数字签名”选项卡，可以查看签名者名称是否与项目或开发者一致。没有签名的程序在运行时可能触发 SmartScreen 的“未知发布者”提示。许多开源客户端因为没有购买签名证书而出现这一提示，它不等于检测到病毒，但意味着你更需要依赖前两关。

macOS

macOS 的系统安全机制会检查应用是否经过开发者签名与公证。未经公证的应用首次打开时，系统可能提示无法验证开发者，或提示应用“已损坏”。网上有教程建议用命令移除文件的隔离属性来绕过提示，这一操作会让系统跳过对该应用的检查，只应在你已经完成前两关核验、并理解风险的情况下自行决定。macOS 上还会遇到网络扩展的授权提示，那属于正常的权限流程，见 macOS 网络扩展权限提示怎么处理。

核验清单（可打印）

安装之后仍要留意的信号

• 客户端索取与代理无关的权限，例如读取通讯录、屏幕录制；
• 客户端界面里出现来路不明的广告、“加速包”购买入口；
• 未做任何操作时，套餐流量出现异常消耗；
• 杀毒或安全软件对客户端的后台进程反复报警。

出现上述情况，先断开代理并卸载客户端，再到机场用户中心重置订阅链接。流量异常的排查思路见 流量异常消耗的排查，下载渠道的更多风险说明见 机场客户端从哪里下载才安全。

使用代理客户端请遵守所在地法律法规以及相关平台的服务条款。