TP钱包实用教程 · 安装
安卓安装包签名与文件完整性应该怎样核对
安装前不要只看文件名、图标或群聊转发说明。应从可信发布渠道取得安装包，并用签名证书、证书指纹及哈希值交叉核对；任何来源不明、校验失败或签名突变的文件，都应停止安装。
阅读时间：约 5 分钟
一、先确认安装包来自哪里
签名和哈希只能证明文件与某个发布版本之间的关系，不能把来路不明的文件变成可信文件。优先从项目公开的正式发布页面获取 APK，记录版本号、发布日期和文件大小；不要把搜索广告、陌生网盘、私聊附件或二次打包页面当作权威来源。
核对时应把发布页的信息与实际文件逐项对应。若页面只写“最新版”而没有版本、签名或校验说明，无法完成独立验证，就不应急于安装。
核对清单
- 确认下载域名、发布账号和页面内容彼此一致，避开仿冒域名与诱导按钮。
- 记录 APK 文件名、版本号、文件大小及下载时间。
- 比较发布页是否提供证书指纹或 SHA-256 校验值。
二、核对签名证书与应用身份
安卓 APK 通常由开发者证书签名。可在电脑上使用 Android SDK 的 apksigner，或使用可信的 APK 分析工具查看签名者、证书指纹、签名方案和证书有效期。首次安装时，关键不是证书是否“看起来正规”，而是指纹是否与项目既有发布信息或此前已验证版本一致。
同一应用的后续升级一般必须由相同签名身份签署；如果安装包提示无法升级、签名者改变，或证书指纹与官方发布记录不符，应视为高风险信号。
核对清单
- 查看 SHA-256、SHA-1 或证书公钥指纹，并逐字符比对。
- 确认 APK 通过 v2/v3 等现代签名校验，且工具未报告篡改或解析错误。
- 将新旧版本签名者比较，不以包名、图标或应用名称代替签名核验。
三、用哈希确认文件没有被替换
哈希值是文件内容的指纹。下载完成后，在电脑终端运行 sha256sum 文件名，或使用能显示 SHA-256 的本地工具，再与发布者公布的值比较。哈希必须完整一致，大小写通常不影响比较，但任何一位缺失、增加或不同都不能忽略。
不要把截图、评论区转发的校验值当作唯一依据，也不要在上传 APK 的陌生网站上完成核验。若校验失败，重新从同一可信页面下载；仍不一致时停止安装，并保留文件名和错误信息供发布者核查。
核对清单
- 计算下载文件的 SHA-256，而不是只比较文件大小。
- 核对发布页上的完整哈希字符串，避免复制截断或多余空格。
- 签名、哈希或版本信息任一不匹配，都删除安装包并停止操作。