官方源和镜像源差在哪？

项目官方 Release镜像源
版本来源仓库 tag同步副本
可追溯性commit、tag、asset取决于镜像说明
速度不一定快通常更快
风险点误进假仓库文件被替换或滞后

下载前看哪 4 项？

第一看仓库 owner 是否和项目官网或文档一致。第二看 release tag 是否存在于官方页面。第三看 asset 文件名和系统架构。第四看大小和哈希。

如果镜像页面只给按钮，不给来源 tag 和同步时间，就不要把它当成可信版本说明。

SHA256 怎么校验？

macOS 和 Linux 用 shasum -a 256 文件名，Windows PowerShell 用 Get-FileHash -Algorithm SHA256。

校验值要来自官方仓库、签名文件或项目维护者说明，而不是下载同一镜像页面旁边的随机文本。

假仓库最常见的伪装是什么？

项目名相似、头像相似、release 数量很少、README 只放下载按钮。还会把旧项目 fork 后改名，制造像官方源的外观。

看 owner 历史、star 变化、issue 活跃度和官网链接，比看页面美观更可靠。

怎么确认这次下载可以使用？

官方仓库、tag、asset、哈希四项一致后，再安装。安装包首次运行前，保留下载记录和校验结果，方便回滚到上一版。

GitHub Release 官方源 镜像源 辨别的工单材料

改配置前备份原文件，保留客户端版本、内核版本和错误日志。路由器、NAS、手机和桌面端的权限模型不同，不能把同一条命令直接搬过去。

协议兼容、规则集和订阅格式会随着客户端更新变化；正文没有覆盖的系统版本，应以维护者文档和当前 Release 说明为准。

GitHub Release 官方源 镜像源 辨别这类工具页要把日志位置、客户端内核和订阅格式写清楚。安装包只从维护者仓库、Release、应用商店或系统包源获取，生产设备只保留可追溯来源。

项目看什么不宜继续的信号
日志位置当前后台、日志或设置页里能直接看到的字段页面提示和手头资料对不上
客户端内核费用、权限、地区或设备造成的实际影响已经影响付款、审核、生产环境或家庭使用
订阅格式回退入口、旧配置、官方支持材料找不到回滚方式，或责任人无法确认

相关阅读