下载来源应按可验证程度排序

安装包完整性验证需要同时检查哈希值和数字签名。哈希值主要用于判断文件是否与指定样本一致，数字签名用于辅助判断文件是否由声明的发布者签署，单独依赖其中一项都不够稳妥。

第一层：核对文件哈希值

旧版程序的兼容性判断应以发布说明、系统日志和实际测试结果为准，不能只依据下载页面中的“全系统支持”或“永久可用”等宣传文字。

旧版安装包的下载来源可以按照可追溯程度排序，来源越接近原始发布者，后续验证越容易。下载页面有HTTPS或显示安全图标🔥📌，只能说明传输过程可能受保护，不能证明文件内容没有被替换。

数字签名检查应关注签名是否有效、证书主体是否与开发者名称一致、证书是否已经过期或被撤销。签名有效不等于程序一定安全，但签名无效、发布✅者名称异常或证书来源不明时，应直🌈接停止安装。