闪连 VPN 安装包核对指南｜文件来源、签名与 SHA-256

文件名、扩展名、数字签名与校验值回答的是不同问题：文件是否适配设备、由谁签名、是否与参考文件一致。把这些信息结合起来检查，比只看产品名称或下载成功提示更有用。

1. 核对下载来源与浏览器记录

先确认当前页面与下载地址符合预期，留意域名拼写、额外跳转，以及浏览器下载列表中显示的文件来源。通过本站获取文件时，应核对本站域名 shanlianvpnv.com；若转到陌生页面并要求输入账号密码，应先确认原因。

HTTPS 表示浏览器与网站之间的连接受到加密保护，不能单独证明软件发布者身份。名称相似的域名、产品图标或熟悉的页面布局，也不能代替来源核实。

保留下载页面、文件名和获取时间，有助于之后定位问题。文件大小可以帮助发现空文件或明显异常，但不能证明下载完整或内容可信。

先确认文件下载完成，再对照当前设备选择安装格式。不要通过修改扩展名，将一个平台的文件当作另一个平台的安装包。

Windows 可在文件资源管理器的“查看”选项中显示文件扩展名，菜单位置随系统版本变化。发现下载到的是网页、错误提示文件或未完成的临时文件时，应返回下载入口确认。

有效数字签名有助于确认签名来源及签名后文件是否被修改，不能单独保证软件安全。没有签名选项卡也不能直接断定文件有恶意，但应进一步确认来源后再决定是否运行。

DMG 格式本身不能证明里面的应用已经签名或公证。首次打开应用时，阅读 macOS 展示的开发者和验证提示，并对照发布说明。提示无法验证、文件损坏或检测到恶意软件时，应根据完整提示处理，不要把所有情况都当作同一种错误。

安装前核对来源和应用名称，并保留系统安全检查。普通安装界面不一定显示完整的签名证书信息；需要核对证书时，应结合发布方资料与合适的检查工具。已有同名应用却无法覆盖安装，可能涉及签名或版本冲突，应先确认原因再决定是否卸载。

通过商店或测试渠道安装时，核对应用、开发者及兼容要求。仅有 IPA 时，需确认对应签名和设备授权。文件名称相同，不代表签名、分发条件或内容相同。

SHA-256 是根据文件内容计算的校验值。只有拿到可信来源提供、对应同一平台和同一版本的参考值，计算结果才有明确的对照意义。不同版本或不同架构的安装包，其校验值通常不同。

打开 PowerShell，使用以下命令，将示例路径替换为实际文件的完整路径：

Get-FileHash -LiteralPath 'C:\Downloads\installer.exe' -Algorithm SHA256

打开终端，将示例路径替换为实际 DMG 文件路径：

shasum -a 256 '/Users/yourname/Downloads/installer.dmg'

以上命令用于读取文件并计算校验值，不会安装应用。比较输出时，应对比完整的 64 位十六进制字符串；字母大小写不影响比较。

校验值一致，说明文件与参考值所对应的内容一致，不能单独证明软件无风险。若没有可信参考值，仅计算自己的文件值无法确认来源；本页未提供各平台安装包的参考校验值。