为什么要核验 VPN 安装包：客户端有权限接管全部流量
VPN 客户端安装之后，会在系统里创建虚拟网卡、修改路由，整台设备的网络流量都会经过它。这意味着如果安装包被替换或打包了恶意代码，影响的就是整台设备，线路再稳定也没有意义。所以在“选哪条线路”之前，先确认“安装的是不是真正的客户端”。这篇文章把下载渠道判断、哈希校验、数字签名查看、安装时的权限提示四件事讲清楚，都是系统自带命令就能完成的检查。
第一道：从哪里下载
只从官方网站和应用商店下载
请输入或从书签进入官方域名，确认地址栏是 HTTPS，域名没有多一个字母或者少一个字母。搜索结果里的“下载站”“破解版”“修改版”都不要选，这些安装包经过了第三方重新打包，无法保证内容完整。手机上优先从系统自带的应用商店安装。
判断下载链接是否真的来自官方
官网页面上的下载按钮，有时会跳转到另一个子域名或 CDN 的地址，这是正常的。但如果跳转到一个完全不相关的域名，或者浏览器提示证书错误，就应该停下来。
第二道：哈希校验
哈希值可以理解为文件的“指纹”：文件内容哪怕只改了一个字节，计算出来的哈希值也会完全不同。如果官方页面提供了安装包的 SHA-256 哈希值，就可以自己计算一下下载到的文件，再和官方公布的值对比。
| 系统 | 计算 SHA-256 的命令 |
|---|---|
| Windows（命令提示符） | certutil -hashfile 文件名 SHA256 |
| Windows（PowerShell） | Get-FileHash 文件名 -Algorithm SHA256 |
| macOS | shasum -a 256 文件名 |
| Linux | sha256sum 文件名 |
校验时要注意两点
第一，哈希值必须来自官方的独立页面，如果下载链接和哈希值都来自同一个被篡改的站点，校验就失去了意义。第二，哈希值逐字符对比，大小写不影响结果，但任何一位不同都说明文件不一致。如果官方没有提供哈希值，就不要自己从第三方网站找一个来对比。
第三道：数字签名
正规分发的安装程序通常带有开发者的数字签名，系统会据此显示发布者信息。
- Windows：右键安装包，选择属性，切换到“数字签名”标签，查看签名者名称和签名状态。没有该标签，说明文件没有数字签名。
- macOS：在终端里运行 codesign -dv --verbose=4 加应用路径，查看 Authority 和 TeamIdentifier；再用 spctl --assess 加应用路径，确认系统是否接受。
- 把签名者名称和官方公布的运营主体对比，名称完全不相关时，先不要安装。
没有签名就一定是假的吗
不一定。部分小团队或开源项目没有购买代码签名证书，这时哈希校验和下载来源就更重要。反过来，有签名也不能代表软件本身安全，它只证明“这个文件确实是这个发布者发布的，并且没有被修改”。
第四道：安装时的权限提示
VPN 客户端首次连接时，系统会弹出“允许添加 VPN 配置”之类的提示，这是系统的正常流程。需要留意的是额外的权限请求：比如应用要求读取通讯录、短信、相册，这些和连接功能没有关系，就应该拒绝，并重新考虑是否继续使用。
日常更新时也别忘了核对
客户端更新时，安装包同样可能被替换。如果你习惯使用应用内的自动更新功能，可以确认更新来源仍然是官方渠道；如果是手动下载新版本，建议再走一遍上面的核对流程，尤其是数字签名的发布者名称，应该和之前安装的版本保持一致。发现名称变化，或者提示证书异常时，先不要安装，回到官方页面确认情况。
核验完这些检查，再去体验 TonBoVPN 这类客户端会更放心，具体官方是否公布哈希值、签名者名称是什么，以官方下载页面的说明为准，按上面的方法自己计算和对比即可。
小结：多一道检查，少一点风险
下载渠道、哈希、数字签名和权限提示，四项检查都不需要额外工具，花不了几分钟。每次换设备、重装系统或者升级客户端，都可以按这个清单走一遍，把风险挡在安装之前。