数字签名查看
通过系统自带的签名工具查看安装包是否具备有效数字签名，并确认签名状态为「有效」，而非「未知发布者」或「签名已损坏」。
Verification Layers
四道防线：从文件到权限的完整校验
一个安装包从下载到运行，会经过多个可被篡改的环节。QuickQ 官方安装包的校验不应只看文件名或图标，而应覆盖签名、开发者、哈希与权限四个层面，形成互相印证的安全闭环。
开发者信息核对
比对签名证书中的开发者主体名称、证书颁发机构与有效期，确认与 QuickQ 官方公布的发布主体一致，避免被同名仿冒证书误导。
文件哈希比对
计算安装包的 SHA-256 哈希值，与官方下载页公示的校验值逐字符比对，任何一位不一致都说明文件在传输或存储中被改动。
安装前权限检查
在安装向导中逐屏阅读权限请求与附加选项，取消一切与核心功能无关的浏览器主页修改、开机自启与第三方推荐组件。
来源域名确认
安装包应只来自官方域名下载入口，警惕拼写相近的仿冒域名与网盘转载链接，这类渠道是捆绑包最常见的传播途径。
安装后复核
安装完成后检查已安装程序列表与启动项，确认没有多出未知组件，并核对程序版本号与官方发布说明是否一致。
为什么安装包校验值得认真对待
很多用户在下载客户端时只关注「能不能装上、能不能用」，却忽略了安装包本身是否被替换。仿冒站点与二次打包的捆绑包往往保持原有图标与名称，普通用户肉眼难以分辨，一旦安装，可能带来主页劫持、后台常驻进程、隐私数据外传等风险。
校验的本质是建立信任链。数字签名证明文件由特定开发者签发且未被篡改；开发者信息确认签发者就是 QuickQ 官方；哈希值比对则是在传输层面再做一次独立验证。三者互相独立，又彼此印证，任何一环失败都应立即停止安装。
数字签名：最容易被忽略的一环
在 Windows 上，可以右键安装包选择「属性」，切换到「数字签名」选项卡，查看签名列表与签名者名称；点击「详细信息」还能看到证书链与时间戳。若该选项卡为空，或提示「此数字签名无效」，说明文件未经可信签名或已被修改。macOS 上可使用 codesign -dv --verbose=4 查看签名信息，用 spctl -a -vv 检查公证状态。
需要特别注意的是，签名有效并不等于开发者可信。仿冒者也可能购买一张低价代码签名证书，此时证书主体名称往往与官方明显不同，因此必须结合开发者信息核对一起判断。
开发者信息核对：看主体，不看名字
证书中的「颁发给」字段是判断发布主体的关键。建议将证书主体名称、颁发机构与有效期，与官方下载页公示的信息逐项比对。若证书主体为个人姓名、模糊的公司缩写，或有效期仅数月，都应提高警惕。
哈希比对：独立于签名的第二重验证
哈希值是一串固定长度的摘要，文件任何一字节变化都会导致结果完全不同。Windows 可用 certutil -hashfile 文件名 SHA256，macOS 与 Linux 可用 shasum -a 256 文件名 计算。比对时务必逐字符进行，不要只看首尾几位。
安装前权限检查：最后一道人工闸门
即使签名与哈希全部通过，安装向导中仍可能出现附加勾选项。建议采用自定义安装而非一键安装，逐屏确认：是否请求修改浏览器主页、是否默认勾选推荐软件、是否申请开机自启与后台常驻权限。与 QuickQ 核心功能无关的请求，一律取消。
- 下载完成后先不要双击运行，先完成签名与哈希校验。
- 校验过程中不要从其他镜像站「补下载」缺失文件。
- 发现校验失败时，删除文件并从官方入口重新下载，不要尝试修复。
- 安装完成后保留安装包一段时间，便于后续复核。
Myth Busting
三个常见误区，可能让你跳过校验
关于安装包校验，流传着不少看似合理的说法。以下三条误区最为常见，也最容易让人放松警惕。
误区：能正常安装就说明是官方包
正解：捆绑包与仿冒包同样可以正常安装，甚至界面与官方几乎一致。能否安装只说明文件结构完整，与来源是否可信毫无关系。必须通过数字签名、开发者信息与哈希值三重核对，才能确认来源。
误区：杀毒软件没报毒就不用校验
正解：杀毒软件主要识别已知恶意特征，对携带正常功能但附加推广组件的捆绑包往往不报毒。这类安装包的风险在于权限滥用与隐私收集，而非传统病毒行为，因此不能以「没报毒」替代主动校验。
误区：哈希值太长，看前几位一样就行
正解：哈希比对必须逐字符完整核对。部分仿冒者会构造前缀相同的文件，仅比对前几位极易误判。建议直接复制两段完整哈希值进行文本比对，或使用演示工具做整串匹配。
Step By Step
五步完成安装包完整校验
按照以下顺序操作，每一步都可独立完成，建议全部通过后再运行安装程序。
从官方入口下载安装包
确认浏览器地址栏为官方域名，下载完成后记录文件名与文件大小，暂不运行。
查看数字签名状态
打开安装包属性中的「数字签名」选项卡，确认签名有效、无「未知发布者」提示；macOS 使用 codesign 检查。
核对开发者主体信息
比对证书「颁发给」名称、颁发机构与有效期，与官方下载页公示的发布主体逐项对照。
计算并比对文件哈希
使用 certutil -hashfile 或 shasum -a 256 计算 SHA-256，与官方公示值完整比对，一个字符都不能差。
阅读安装向导权限请求
选择自定义安装，逐屏取消与核心功能无关的附加选项，确认无主页修改与第三方组件勾选。
Interactive Demo
在线演示：哈希比对与权限检查
以下为纯前端演示工具，不会上传任何数据。可用于熟悉校验流程与判断逻辑。
哈希值比对演示
输入计算得到的 SHA-256 值，演示工具将与示例官方值做整串比对（示例值仅用于演示）。
等待输入哈希值…
安装前权限检查演示
点击开关模拟安装向导中的权限请求，全部关闭与核心功能无关的项即为安全配置。
安装 QuickQ 核心程序
核心
修改浏览器默认主页
附加
开机自动启动并常驻后台
附加
安装第三方推荐组件
附加
当前配置：核心功能已启用，附加权限全部关闭。
FAQ
安装包校验常见问题
关于签名、哈希与权限检查，用户最常提出的几个疑问。
安装包没有数字签名，还能安装吗？
不建议安装。缺少数字签名意味着无法验证文件来源与完整性，也无法确认是否在传输中被替换。QuickQ 官方安装包应具备有效数字签名，若发现签名缺失或提示「未知发布者」，请删除文件并从官方入口重新下载。
哈希值与官方公示不一致，但文件能正常运行，怎么办？
应立即停止安装并删除文件。哈希不一致代表文件内容与官方发布版本存在差异，即使程序能运行，也可能已被植入额外组件。请从官方入口重新下载，并重新计算哈希值确认一致后再安装。
如何确认证书中的开发者就是 QuickQ 官方？
将证书「颁发给」名称与官方下载页公示的发布主体进行逐项比对，同时留意颁发机构与有效期。若证书主体为个人姓名、模糊缩写，或有效期异常短暂，应视为可疑。必要时可通过官方客服渠道进一步确认。
安装向导中哪些权限属于「与核心功能无关」？
修改浏览器主页与搜索引擎、安装第三方推荐软件、开机自动启动并常驻后台、读取与连接功能无关的个人文件等，通常都属于可取消的附加项。核心程序安装本身是必需的，其余附加请求建议一律关闭。
已经安装了来源不明的安装包，需要做什么？
建议先卸载该程序，检查浏览器主页与默认搜索引擎是否被修改，查看启动项与已安装程序中是否存在未知组件，随后从官方入口重新下载并完成完整校验后再安装。若发现异常网络行为，建议进一步做全盘安全检查。
Fresh Updates
最新校验与安全资讯
近一周内与安装包校验、仿冒识别相关的最新动态。
官方下载页更新校验值公示格式新增 SHA-256 整串展示与复制按钮，便于用户逐字符比对，减少人工核对误差。
仿冒域名注册量近期上升安全团队观察到与官方域名拼写相近的站点增多，建议下载前仔细核对地址栏域名。
捆绑包新增主页劫持变体部分二次打包安装包在自定义安装界面默认勾选主页修改，需逐屏手动取消。
macOS 公证检查流程补充说明官方指南新增 spctl 检查命令示例，帮助用户确认安装包公证状态。
案例库新增三类仿冒页面截图案例展示页补充了仿冒下载页的典型特征，包括伪造的校验值公示区。
安装前权限检查清单发布整理出常见附加权限清单，覆盖主页修改、开机自启与第三方推荐组件三类。