同一个软件，搜索结果却给出多个下载地址：文件名都像“最新版”，究竟先看哪一个？快柠檬下载前，值得先建立一条从发布资料到本地文件的核对链，再决定是否运行安装程序。

先确认来源，而不是只看页面名称

在快柠檬软件下载资料库 中先了解需要核对的信息。实际下载时看地址栏里的完整域名，留意多一个字母、相似字符和异常子域名。页面写着“官方”或提供熟悉的图标，都不能代替对发布渠道的确认。

HTTPS 表示连接使用加密传输，并不保证运营者或文件可信。点击后如果经过重定向，应重新检查最终域名，确认这条跳转能由可信发布资料解释。无法确认时，先停止下载和安装。

把安装文件当成待核对的对象

看到的信息能帮助判断什么不能单独证明什么
EXE / MSI / APK / DMG / PKG可能的系统与文件用途真实来源和内容安全
文件名与大小是否与同平台发布资料明显不符是否为未经修改的原件
SHA-256与可信参考文件是否一致软件本身是否无恶意内容

在文件管理器中显示扩展名，避免把双重后缀误当成文档。文件大小异常、浏览器仍显示下载中或中断时，不急着打开。核对版本时还要结合软件版本号与发布通道 ，避免把不同平台、测试版或旧包混在一起比较。

SHA-256 怎么用，才有意义？

哈希把文件内容计算为固定长度的摘要。应先从可信发布资料取得对应文件的参考值，再计算本地文件并完整比对。只对同一个文件、同一种算法进行比较；不要拿第三方论坛复制的字符串当作已确认依据。

Windows PowerShell 可以使用下面的通用命令。引号内路径需要替换为你实际下载的文件，示例没有指定快柠檬安装包名称。

Get-FileHash -LiteralPath 'C:\实际路径\安装文件' -Algorithm SHA256

两边摘要一致，说明文件与参考对象一致；如果参考对象本来有风险，匹配哈希也不能使其安全。如果发布方没有提供可信校验值，自己算出一串字符并不能完成来源认证，也不要猜一个“官方哈希”。

运行之前，再交叉检查一次

  1. 保存下载页面、最终文件来源、系统平台与版本说明，便于以后追溯。
  2. 若系统能展示数字签名，核对签名有效性和发布者是否符合可信资料。有效签名也不能替代对行为与来源的判断。
  3. 确认安装方式和权限。准备在电脑安装，可接着读Windows 当前用户与所有用户安装 。
这一步的判断标准

来源、文件和发布说明应彼此对应。遇到未知发布者、修改版或异常安全提示，先查明原因，不关闭防护，也不把扩展名正确当成可以安装的充分条件。

参考资料与内容范围

技术说明参考以下平台文档；操作界面可能随系统版本变化，实际客户端信息以可信发布资料为准。