下载的软件怎么核对是不是官方原版？用 SHA-256 校验

下载软件时最怕两件事：从第三方下载站拿到的安装包被替换过，或者文件在下载途中损坏。核对文件是不是官方原版，最可靠的办法是比对 SHA-256 哈希值——它相当于文件的唯一指纹，官方公布的值和你本地算出的值完全一致，才能认定文件没被动过。在 Windows 上做这件事不用装任何工具，系统自带的 PowerShell 就能完成。

SHA-256 是什么，为什么能证明文件没被改？

SHA-256 是一种哈希算法，能把任意大小的文件算成一串 64 位的十六进制字符。同一个文件算出来的值永远相同；只要文件里改动一个字节，算出来的值就会完全变样。所以软件官方在发布安装包时，常在官网或代码托管平台公布这个文件的 SHA-256 值，用户下载后自己算一遍、对照一遍，就能确认拿到的文件与官方发布的完全一致。

这种核对能挡住两类风险：一是下载站的安装包被二次打包换上全家桶程序，哈希必然对不上；二是大文件下载中断、磁盘错误导致的损坏，哈希同样对不上。日常安装软件前花一分钟做这个核对，比装完再发现问题省事得多。

哪里能找到官方公布的 SHA-256 值？

官方公布哈希的位置因软件而异，常见的三种渠道如下表：

| 软件类型 | 哈希公布位置 | 说明 | | --- | --- | --- | | 7-Zip | GitHub 官方发行页 | 7-Zip 官网下载页提供安装包，其 GitHub 发行页随发布同时公布各文件的 SHA-256 | | VLC | 官网下载页与归档 | VideoLAN 官网提供当前版本下载，历史版本与校验信息可在官网页面找到入口 | | 开源软件 | GitHub Releases 发行页 | 大多数开源软件会在发布说明里贴出哈希值，与新版本号一一对应 |

具体到某个软件，打开它的官网下载页找「校验」「Checksum」「SHA-256」一类字样，或看 GitHub 发行页的发布说明，一般都能找到。找不到时以官网当前页面为准，不要把第三方页面抄来的哈希当官方值。

Windows 上怎么用 PowerShell 计算 SHA-256？

Windows 10 和 Windows 11 自带 PowerShell，不需要额外安装软件，步骤如下：

打开存有安装包的文件夹，在上方地址栏输入 powershell 后按回车。
在弹出窗口里输入下面的命令，把文件名换成你实际的文件名：

Get-FileHash .\安装包.exe -Algorithm SHA256

按回车等待几秒，输出结果中的 Hash 一行就是这 64 位十六进制值。

如果你装了 7-Zip，也可以在文件管理器里右键安装包，在 7-Zip 菜单中选择「CRC SHA」来计算哈希；用它算出 SHA-256 同样有效。

算出来的哈希怎么和官方值对照？

拿到本地哈希后，回到官网或 GitHub 发行页，复制官方公布的 SHA-256 值。可以直接用浏览器自带的查找功能（按 Ctrl+F）粘贴官方值的前 8 位定位，然后逐段核对完整字符串。

判断标准只有一个：64 位十六进制字符每一位都相同，才算核对通过。只要有一位不同，就认定文件不可信，立即删除，回到官方渠道重新下载。不要因为「看起来一样」就跳过逐位核对，哈希比对必须完整一致。

没有官方哈希的软件怎么确认安全性？

部分软件官网不公布哈希值，这时优先回到官网直链下载，官网本身就是最可信的来源。若只能通过网盘镜像等渠道获取，先检查数字签名：右键安装包选「属性」，打开「数字签名」选项卡，确认签名者名称与软件官方一致且状态为「正常」。数字签名正常代表文件发布后未被改动，这与哈希核对的目的一致。仍不放心时，用杀毒软件扫描后再安装。

核对时版本号和平台也要对上，别拿旧版哈希比对

计算哈希前先看清官方公布值对应的是哪个版本。哈希值随文件的每个字节变化，同一个软件的不同版本、不同位数（32 位和 64 位）算出来都不同，7-Zip 26.05 的官方哈希只能核对 26.05 的安装包，拿 23.01 时代的旧值去对 26.05 的文件必然不一致。下载链接的文件名里通常带版本号和位数，比如 7z2605-x64.exe 里的 26 和 05 就是版本号、x64 是位数，先让文件名、版本、位数三者与官网公布值对应，再开始比对，避免白算一遍。

做完这几件再装：① 从官网或权威渠道找到对应版本的官方 SHA-256；② 用 Get-FileHash 算出本地安装包的哈希；③ 64 位逐字符比对，确认完全一致；④ 核对通过后再双击安装，安装后去官网看同步更新的版本号。