v2rayN 7.23.4 不是可以等几周再看的普通更新。官方 Release 把旧版内置下载器的中间人攻击风险列为紧急安全问题，并要求用户升级。GitHub 在 2026-07-25 返回的稳定版 Latest 仍是 7.23.4；更新的 7.24.2 还在 Pre-release 线。

升级动作别和配置迁移混在一起。退出 v2rayN，备份 guiConfigs 或整个便携目录，只替换客户端版本。原有节点、TUN、DNS 和路由设置先不要动。

7.23.4 现在还是稳定版吗？

是。7.23.4 发布于 2026-07-11，GitHub Release 的 prerelease 字段为 false，/releases/latest 也指向这个标签。7.24.1 和 7.24.2 分别发布于 7 月 17 日、7 月 24 日，但两者的 prerelease 字段都是 true。

版本GitHub 标记发布日期当前动作
7.22.7历史稳定版2026-06-12升到 7.23.4
7.23.4Latest、稳定版2026-07-11普通用户的升级目标
7.24.2Pre-release2026-07-24只在独立目录测试

这张表解决的是版本线，不代表 7.24.2 不重要。它继续带有同一条紧急安全说明，还加入 Avalonia 12、Happy Eyeballs、自定义 Fake-IP 范围和 TUN 地址选项。没有这些测试需求，就留在稳定版。

内置下载器到底修了什么？

合并到 7.23.4 的 PR #9703 指向 Downloader 库里的两处 TLS 行为：忽略过期证书，以及接受全部自签名证书。PR 作者判断这两处可能让下载请求受到 MITM 干预，进而拿到被替换的文件。

修复方案不是把警告藏起来。PR 让下载流程改用自建的 SocketsHttpHandler，不再调用 Downloader 原来的宽松证书回调；根证书提供者可选系统、Chrome 或 Mozilla，默认值仍是系统证书库。Release 把它定性为严重安全漏洞，但没有给出 CVE 编号，也没有披露已经发生的利用案例。能确认的是代码风险与修复，不能把它扩写成已有攻击事件。

这次还给每个发布包配了同名 .sig，并提供 v2rayN-public-key.asc。GPG 签名用于确认文件与签名密钥是否匹配。它和 TLS 修复是两层保护，不是同一个开关。

哪些用户该立刻升，哪些设备要先停？

官方要求所有用户升级。经常使用客户端里的检查更新、下载 Core 或其他在线资源的人，风险面更直接；很少使用内置下载功能，也不等于旧下载器已经安全。

系统版本过低时不要直接覆盖。7.23.4 Release 同时提高了桌面系统门槛：

平台7.23.4 最低要求低于门槛时怎么处理
macOS13.7+保留旧目录，先安排系统升级
Debian13+不安装新版 .deb，先升级发行版
Ubuntu26.04+不用旧版内置下载器拉新文件
Fedora43+升级系统后再换新版 RPM
RHEL10+先验证业务环境能否迁移到 RHEL 10

Windows 的官方发布文件说明列出 Windows 10+，因此 Windows 7 不在当前发布包的支持口径里。Wiki 的通用 Linux、macOS 门槛可能晚于某个具体标签更新；安装 7.23.4 时，以该标签 Release 写明的版本为准。

Windows、macOS、Linux 应该拿哪个文件？

先查处理器架构。Windows PowerShell 可以直接输出 .NET 识别到的系统架构：

[System.Runtime.InteropServices.RuntimeInformation]::OSArchitecture

macOS 和 Linux 用同一条命令：

uname -m

把输出映射到 Release 资产名：

系统与输出应选资产别选错的点
Windows X64v2rayN-windows-64.zipdesktop 后缀是 Avalonia，非 desktop 是 WPF
Windows Arm64v2rayN-windows-arm64.zip不要拿 windows-64 当原生 ARM 包
32 位 Windowsv2rayN-windows-86.zip7.23.4 才把 x86 包加入稳定发布
Intel Mac x86_64v2rayN-macos-64.dmg最低 macOS 13.7
Apple Silicon arm64v2rayN-macos-arm64.dmgApple Silicon 机型都选 arm64
Debian/Ubuntu x86_64v2rayN-linux-64.deb发行版版本也要达到上表门槛
Debian/Ubuntu aarch64v2rayN-linux-arm64.debaarch64 对应资产名里的 arm64
Fedora/RHEL x86_64v2rayN-linux-rhel-64.rpm官方文件名用 rhel-64

LoongArch 与 RISC-V 用户不要套用 ARM 包。Release 另有 linux-loong64、linux-riscv64.deb 和 linux-rhel-riscv64.rpm。文件名既要对架构，也要对包管理器。

升级前应该备份哪个目录？

便携版最省事：完全退出 v2rayN 后，复制整个解压目录。官方 Wiki 说明，zip 包会把数据放在当前文件夹，复制出来的两份可以互相独立运行。界面里的「备份和还原」也以整个 guiConfigs 文件夹为对象；非 Windows 系统导出时要把扩展名写成 .zip。

Windows 目录里至少要保住这一层：

v2rayN\
  guiConfigs\
    guiNConfig.json
    guiNDB.db
    pac.txt
    Mixin.yaml
    <GUID>.json

guiNDB.db 存放配置等数据，不要用文本编辑器打开后另存。guiNConfig.json 可以编辑，但官方要求修改前退出 App。最稳妥的备份不是挑几个 JSON，而是连同 guiConfigs 原样复制。

使用 .deb、.rpm 或 .dmg 安装版时，数据会放到系统用户目录，具体位置与系统包不同。不要拿 Windows 便携版路径去猜 macOS 或 Linux 的数据目录。找不到当前用户数据目录时不要覆盖，先保留原安装包；本文没有在三种系统上实际执行覆盖安装。

GPG 签名怎么验证才算通过？

从同一个 7.23.4 Release 下载三样东西：安装包、同名 .sig、v2rayN-public-key.asc。下面用 Windows x64 的 WPF 包举例；命令适合装有 GnuPG 的 Git Bash、macOS 或 Linux，其他平台只替换文件名。

mkdir v2rayn-7.23.4-verify
cd v2rayn-7.23.4-verify

curl -LO https://github.com/2dust/v2rayN/releases/download/7.23.4/v2rayN-windows-64.zip
curl -LO https://github.com/2dust/v2rayN/releases/download/7.23.4/v2rayN-windows-64.zip.sig
curl -LO https://github.com/2dust/v2rayN/releases/download/7.23.4/v2rayN-public-key.asc

gpg --show-keys --with-fingerprint v2rayN-public-key.asc
gpg --import v2rayN-public-key.asc
gpg --verify v2rayN-windows-64.zip.sig v2rayN-windows-64.zip

导入前，gpg --show-keys 输出的指纹必须与官方 README 一致：

7694 5E9F 3E9A 168F 8070 F195 805D 661C
134D FAF6 8903 C199 463C 31E5 AE90 3AE0

签名验证的成功信号是 Good signature，且输出的密钥指纹与上面一致。出现 BAD signature、No public key 或文件名不一致时，不要启动安装包；删除这次下载的三个文件，再从官方 Release 重下。

还有一条边界：安装包和公钥如果都从同一个 Release 下载，签名只能证明两者相互匹配。可在另一个网络环境打开官方仓库固定提交 1de83f9 的 README，再比一次指纹；这仍不能防住仓库账号或签名私钥本身失陷。不要把一次 GPG 成功写成绝对可信结论。需要区分签名、哈希与下载来源，可接着查 GitHub Release 签名校验。

升级后怎么确认不是只换了界面文件？

先打开 v2rayN 的关于或版本信息，确认 GUI 显示 7.23.4。再启动原来的一个配置，观察信息栏里的 Core 日志。Xray、sing-box 与 Mihomo 由客户端分别调用，GUI 升级成功不代表每个 Core 都已切到你预期的版本。需要单独确认 Xray 的资产与版本时，去 Xray-core 下载页 对照。

这张表用于区分安装错误和配置错误：

升级后信号更可能原因先查什么
App 完全无法启动系统版本低于门槛，或资产架构不匹配系统版本、uname -m、资产名
配置列表为空新旧版本读取了不同数据目录guiConfigs 备份与便携目录位置
GPG 报 BAD signature包与 .sig 不配套，或文件损坏标签、文件名、重新下载
GUI 是 7.23.4，Core 启动失败Core 文件或原配置不兼容信息栏日志里的第一个错误
原节点能启动但 TUN 失败TUN/Core 问题，不是下载器修复本身当前 Core 版本与 TUN 日志

一次只处理一个信号。版本、配置目录、Core、TUN 同时改，日志里出现错误也找不到是哪一步引入的。

7.23.4 启动失败时怎么回滚？

完全退出新版本，把新目录改名保留，再恢复升级前复制的便携目录。安装版则卸载新包、装回已保存的旧包，再恢复导出的配置。回滚后先确认配置列表和一个 Core 能启动，不要立即重导全部订阅。

回滚只是恢复工作，不是长期停在旧下载器的理由。旧版本继续使用期间，关闭客户端内的自动下载动作；安装包和 Core 改为从项目的 GitHub Releases 手动取得。系统版本达到门槛后，再回到 7.23.4 完成升级。

如果你准备改用 7.24.2，另建便携目录，不覆盖稳定版。Avalonia 12、Happy Eyeballs、Fake-IP 范围和 TUN 地址都是额外变量，应该与这次下载器安全修复分开验证。客户端入口与官方资产索引可从 v2rayN 下载页 继续查。