快檸檬安裝前怎麼核驗安裝包？Windows與Mac安全檢查清單

下載完成不等於可以直接安裝。本文説明如何記錄快檸檬安裝包來源、檢查Windows數字簽名與SHA-256、區分Mac安全警告，並提供可複製的核驗記錄和停止安裝條件，避免把兼容性問題與來源風險混為一談。

適用範圍：先判斷可信度，再解決裝不上

這份清單適用於準備在個人Windows電腦或Mac上安裝、更新快檸檬桌面客户端的人。它不鑑定本站當前下載文件是否安全，也不提供未經核實的發佈者名稱、版本號或哈希值。企業管理設備請先詢問管理員；本文不是繞過組織安裝限制的教程。

安裝失敗至少要分成兩類：一種是系統版本、處理器架構或磁盤空間不匹配，另一種是文件來源和簽名存在疑問。前者可以繼續檢查兼容性，後者應先停止執行。把所有警告都當成系統誤報，會讓原本只是下載排障的事情變成安全風險。

第一步：保留下載來源，而不是隻記住文件名

從自己確認的站點入口進入下載中心，核對地址欄的完整域名；不要只看搜索結果標題、圖標或廣告位置。
下載前記錄平台、文件名和頁面標註的版本。發生跳轉時，記錄最終下載主機；CDN域名不同不必然有問題，但來源無法解釋時不要繼續。
下載完成後先不要雙擊。檢查文件擴展名、大小及瀏覽器是否顯示下載未完成；聊天羣重新打包的壓縮文件不能自動視為原始安裝包。
把本次文件與舊版本分開放置，避免核驗A文件、實際打開B文件。不要為了識別方便隨意修改擴展名。

HTTPS只保護到當前網站的傳輸連接，並不等於網站可信，更不代表裏面每個安裝包都通過審計。文件名寫着最新版也不是版本證據。沒有獨立可核對的信息時，把狀態記為待確認，而不是補上一個猜測的結論。

第二步：Windows先看簽名，再做完整性對照

可以先右鍵文件查看屬性中的數字簽名信息；不同文件類型和簽名方式的展示可能不同。也可以打開普通PowerShell窗口，使用下面的只讀命令。把installer.exe替換為本次實際文件名，不要運行網上附帶的下載執行命令。

$file = "$env:USERPROFILE\Downloads\installer.exe"
Get-AuthenticodeSignature -LiteralPath $file | Format-List Status,StatusMessage,SignerCertificate
Get-FileHash -LiteralPath $file -Algorithm SHA256

Microsoft提供Get-AuthenticodeSignature讀取簽名信息。記錄Status以及證書中的主體信息，再向你可信任的軟件發佈渠道核對簽名者是否符合預期。Valid不能證明程序絕對無害，NotSigned或驗證錯誤也不能單獨證明惡意；但在來源沒有核實前，都不適合直接執行。

Microsoft：Get-AuthenticodeSignature命令説明

Get-FileHash可以計算SHA-256。只有拿到可信渠道為同一版本、同一平台、同一文件發佈的預期摘要，逐字比較才有判斷意義。兩個陌生鏡像給出相同摘要，不等於已確認來源可信。沒有公佈摘要時如實標記無法比對，不要從別的版本借用一個數值。

Microsoft：Get-FileHash與SHA-256説明

第三步：Mac安全提示要按原文處理

macOS的Gatekeeper會檢查從外部下載應用的簽名、公證等安全信息。無法驗證開發者、文件損壞以及檢測到惡意軟件不是同一件事。先保存完整提示和系統版本，再查對應的Apple説明；不要把刪除隔離屬性或關閉Gatekeeper當作通用修復方法。

Apple：安全地打開Mac上的App

本文不建議為未知文件添加安全例外。提示損壞時，先刪除這份尚未執行的下載副本，通過已確認的渠道重新下載並核對版本；仍然出現警告就交給發佈方確認。若提示包含惡意軟件、證書撤銷等風險，不要反覆嘗試強行打開。公司Mac還可能受管理策略約束，不應自行解除。

第四步：來源核驗通過後，再檢查兼容性

核對系統版本與下載頁面寫明的最低要求，不能只憑文件後綴判斷可用。
Windows設備核對系統類型；Mac查看關於本機中的芯片或處理器信息。若頁面列出不同架構，選擇與設備相符的包，不要假定所有版本都通用。
確認剩餘空間、下載是否完整，以及是否有另一份安裝程序正在執行。記錄錯誤發生在下載、打開、授權還是安裝結束階段。
如果舊版仍可正常工作，先確認配置如何保留及是否支持回退，再更新；不要刪除整個用户配置目錄來試運氣。

例如同名文件在兩次下載中摘要不同，可能是下載中斷、服務端更新或文件被替換。這個觀察只能説明需要查清差異，不能直接宣佈網站被攻擊，也不能忽略差異繼續安裝。先核對版本與發佈時間，必要時向支持人員提供兩份摘要。

可複製的核驗記錄與停止條件

設備與系統版本：
下載頁面：
最終下載主機：
下載時間與時區：
文件名、大小、版本：
簽名狀態與簽名者：
SHA-256：
可信預期摘要來源（沒有則寫未提供）：
安全提示原文：
已執行的只讀檢查：

記錄可以發給支持人員，但不要附賬號密碼、登錄令牌、私人路徑或整份未經檢查的系統日誌。本文沒有為快檸檬聲明任何固定證書主體；支持方給出的答案應能對應到你手上的具體文件。

預期摘要不一致、簽名者無法解釋、跳轉到陌生站點索要賬號：停止安裝並核實。
操作要求關閉所有安全軟件、導入未知根證書或執行來源不明腳本：停止，不以安裝成功作為驗證。
已經運行了可疑文件：暫停輸入敏感信息，保留告警與文件信息，使用系統安全工具檢查，必要時聯繫管理員；不要繼續反覆安裝覆蓋證據。

最終合格記錄不是沒有彈窗，而是來源可解釋、文件與預期一致、系統要求匹配，且剩餘疑問已經有可核驗的答案。核驗完成後再進入安裝流程，能讓後續排障少走很多彎路。