三种校验分别解决什么？
| 校验项 | 能发现 | 不能发现 |
|---|---|---|
| SHA256 | 文件被改或损坏 | 官方源本身出错 |
| 签名 | 发布者异常 | 未签名项目 |
| tag | 版本来源 | 二进制是否一致 |
| 文件大小 | 明显错包 | 细微替换 |
Windows 怎么算 SHA256？
PowerShell 执行 Get-FileHash .\文件名 -Algorithm SHA256。把输出和官方校验值逐字比对。
如果下载的是压缩包，校验压缩包本身；解压后还可以对核心二进制再算一次。
macOS 和 Linux 怎么做？
macOS 执行 shasum -a 256 文件名。Linux 也可以用 sha256sum 文件名。
macOS 安装 App 时还要看系统签名提示。提示来源异常时，先回官方仓库确认是否换了发布方式。
签名和哈希哪个更重要？
它们解决不同问题。哈希证明你拿到的是某个固定文件，签名证明文件和发布者身份有关。
开源核心有时只提供哈希，不提供图形安装包签名。桌面 App 则更应该关注签名发布者。
怎么保存校验记录？
把下载 URL、release tag、文件名、SHA256、下载日期记录到本地文本。升级失败时，你能快速回滚到上一个已校验版本。
代理客户端 SHA256 签名校验的工单材料
改配置前备份原文件，保留客户端版本、内核版本和错误日志。路由器、NAS、手机和桌面端的权限模型不同，不能把同一条命令直接搬过去。
协议兼容、规则集和订阅格式会随着客户端更新变化；正文没有覆盖的系统版本，应以维护者文档和当前 Release 说明为准。
代理客户端 SHA256 签名校验这类工具页要把恢复动作、工单材料和回退入口写清楚。安装包只从维护者仓库、Release、应用商店或系统包源获取，生产设备只保留可追溯来源。
| 项目 | 看什么 | 不宜继续的信号 |
|---|---|---|
| 恢复动作 | 当前后台、日志或设置页里能直接看到的字段 | 页面提示和手头资料对不上 |
| 工单材料 | 费用、权限、地区或设备造成的实际影响 | 已经影响付款、审核、生产环境或家庭使用 |
| 回退入口 | 回退入口、旧配置、官方支持材料 | 找不到回滚方式，或责任人无法确认 |