快柠檬安装前怎么核验安装包？Windows与Mac安全检查清单

下载完成不等于可以直接安装。本文说明如何记录快柠檬安装包来源、检查Windows数字签名与SHA-256、区分Mac安全警告，并提供可复制的核验记录和停止安装条件，避免把兼容性问题与来源风险混为一谈。

适用范围：先判断可信度，再解决装不上

这份清单适用于准备在个人Windows电脑或Mac上安装、更新快柠檬桌面客户端的人。它不鉴定本站当前下载文件是否安全，也不提供未经核实的发布者名称、版本号或哈希值。企业管理设备请先询问管理员；本文不是绕过组织安装限制的教程。

安装失败至少要分成两类：一种是系统版本、处理器架构或磁盘空间不匹配，另一种是文件来源和签名存在疑问。前者可以继续检查兼容性，后者应先停止执行。把所有警告都当成系统误报，会让原本只是下载排障的事情变成安全风险。

第一步：保留下载来源，而不是只记住文件名

从自己确认的站点入口进入下载中心，核对地址栏的完整域名；不要只看搜索结果标题、图标或广告位置。
下载前记录平台、文件名和页面标注的版本。发生跳转时，记录最终下载主机；CDN域名不同不必然有问题，但来源无法解释时不要继续。
下载完成后先不要双击。检查文件扩展名、大小及浏览器是否显示下载未完成；聊天群重新打包的压缩文件不能自动视为原始安装包。
把本次文件与旧版本分开放置，避免核验A文件、实际打开B文件。不要为了识别方便随意修改扩展名。

HTTPS只保护到当前网站的传输连接，并不等于网站可信，更不代表里面每个安装包都通过审计。文件名写着最新版也不是版本证据。没有独立可核对的信息时，把状态记为待确认，而不是补上一个猜测的结论。

第二步：Windows先看签名，再做完整性对照

可以先右键文件查看属性中的数字签名信息；不同文件类型和签名方式的展示可能不同。也可以打开普通PowerShell窗口，使用下面的只读命令。把installer.exe替换为本次实际文件名，不要运行网上附带的下载执行命令。

$file = "$env:USERPROFILE\Downloads\installer.exe"
Get-AuthenticodeSignature -LiteralPath $file | Format-List Status,StatusMessage,SignerCertificate
Get-FileHash -LiteralPath $file -Algorithm SHA256

Microsoft提供Get-AuthenticodeSignature读取签名信息。记录Status以及证书中的主体信息，再向你可信任的软件发布渠道核对签名者是否符合预期。Valid不能证明程序绝对无害，NotSigned或验证错误也不能单独证明恶意；但在来源没有核实前，都不适合直接执行。

Microsoft：Get-AuthenticodeSignature命令说明

Get-FileHash可以计算SHA-256。只有拿到可信渠道为同一版本、同一平台、同一文件发布的预期摘要，逐字比较才有判断意义。两个陌生镜像给出相同摘要，不等于已确认来源可信。没有公布摘要时如实标记无法比对，不要从别的版本借用一个数值。

Microsoft：Get-FileHash与SHA-256说明

第三步：Mac安全提示要按原文处理

macOS的Gatekeeper会检查从外部下载应用的签名、公证等安全信息。无法验证开发者、文件损坏以及检测到恶意软件不是同一件事。先保存完整提示和系统版本，再查对应的Apple说明；不要把删除隔离属性或关闭Gatekeeper当作通用修复方法。

Apple：安全地打开Mac上的App

本文不建议为未知文件添加安全例外。提示损坏时，先删除这份尚未执行的下载副本，通过已确认的渠道重新下载并核对版本；仍然出现警告就交给发布方确认。若提示包含恶意软件、证书撤销等风险，不要反复尝试强行打开。公司Mac还可能受管理策略约束，不应自行解除。

第四步：来源核验通过后，再检查兼容性

核对系统版本与下载页面写明的最低要求，不能只凭文件后缀判断可用。
Windows设备核对系统类型；Mac查看关于本机中的芯片或处理器信息。若页面列出不同架构，选择与设备相符的包，不要假定所有版本都通用。
确认剩余空间、下载是否完整，以及是否有另一份安装程序正在执行。记录错误发生在下载、打开、授权还是安装结束阶段。
如果旧版仍可正常工作，先确认配置如何保留及是否支持回退，再更新；不要删除整个用户配置目录来试运气。

例如同名文件在两次下载中摘要不同，可能是下载中断、服务端更新或文件被替换。这个观察只能说明需要查清差异，不能直接宣布网站被攻击，也不能忽略差异继续安装。先核对版本与发布时间，必要时向支持人员提供两份摘要。

可复制的核验记录与停止条件

设备与系统版本：
下载页面：
最终下载主机：
下载时间与时区：
文件名、大小、版本：
签名状态与签名者：
SHA-256：
可信预期摘要来源（没有则写未提供）：
安全提示原文：
已执行的只读检查：

记录可以发给支持人员，但不要附账号密码、登录令牌、私人路径或整份未经检查的系统日志。本文没有为快柠檬声明任何固定证书主体；支持方给出的答案应能对应到你手上的具体文件。

预期摘要不一致、签名者无法解释、跳转到陌生站点索要账号：停止安装并核实。
操作要求关闭所有安全软件、导入未知根证书或执行来源不明脚本：停止，不以安装成功作为验证。
已经运行了可疑文件：暂停输入敏感信息，保留告警与文件信息，使用系统安全工具检查，必要时联系管理员；不要继续反复安装覆盖证据。

最终合格记录不是没有弹窗，而是来源可解释、文件与预期一致、系统要求匹配，且剩余疑问已经有可核验的答案。核验完成后再进入安装流程，能让后续排障少走很多弯路。