下载好了 Clash 类客户端或 v2rayN，怎样知道手里的文件有没有下错、损坏或被换过？除了核对下载来源，还可以做两项具体检查：把文件的 SHA256 与发布方公布的值比较，再按文件类型查看 Windows 数字签名。

这两项检查都不需要先运行下载的软件，也不需要关闭杀毒软件。 哈希比较回答“文件内容是否与参考值一致”，数字签名提供另一类发布者和签名状态信息。它们不能替代对项目本身的信任判断，更不能证明代理节点不记录日志。

下面适用于 Windows 中的 PowerShell。示例路径和文件名需要换成你实际下载的文件，不是让你寻找某个叫 client.zip 的特定客户端。

先确认拿什么文件与什么值比较

不要从陌生下载站拿到一个压缩包，再用同一下载站给出的“安全校验值”替它证明身份。对方如果同时换掉文件和参考值，比较仍然可能相同。

应从你已确认的项目发布入口，找到对应版本及附件。例如 v2rayN 项目 Releases 页面会列出发布版本和资产，部分资产可看到 sha256: 摘要；其他项目是否提供摘要，应以其发布页为准。不要仅凭网页标题写着“官方”就认定来源。

记录好版本、完整附件名和它对应的 SHA256。尤其别把 Windows 与 Linux、x64 与 ARM64、安装版与便携版混用。它们即使属于同一次发布，也是不同文件。

比较对象还要保持一致：发布页给 ZIP 的摘要，就计算下载的 ZIP；给安装 EXE 的摘要，就计算安装 EXE。不要拿压缩包的摘要去比解压后的主程序。 更新到另一个版本后，也要重新取得该版本的参考值，不能沿用旧笔记。

用 PowerShell 计算并比较 SHA256

在开始菜单搜索 PowerShell，打开普通窗口即可。先找到下载文件的完整路径，再填写下面两项。路径中即使有空格，也要保留引号；SHA256 只填十六进制值，不带 sha256: 前缀、文件名或换行。

$packagePath = 'C:\Downloads\client.zip'
$expectedSha256 = '在这里粘贴对应文件的64位SHA256'

if ($expectedSha256 -notmatch '\A[0-9a-fA-F]{64}\z') {
    throw '请先填写完整的 SHA256，不要保留示例文字或前缀'
}

$actualSha256 = (Get-FileHash -LiteralPath $packagePath -Algorithm SHA256 -ErrorAction Stop).Hash
$actualSha256 -eq $expectedSha256

最后的比较返回 True，表示本次计算值与填写的参考值相同；返回 False，表示不相同。大小写不影响这里的比较。若提示找不到文件，先修正路径；不要把命令报错当成文件已经验证失败。

微软的 Get-FileHash 文档说明了按文件内容计算摘要的用途及参数。重命名文件不会改变其内容摘要；真正需要核对的是算法、内容和参考值，而不是文件名看起来像不像。

如果结果不同，先暂停安装，按顺序核对：是否选错版本或架构，是否比较错了附件，参考值有没有复制完整，下载是否已经结束。确认比较对象无误后，可从原发布入口重新下载到另一个位置，再对新文件计算一次。

不一致本身不足以判断是谁篡改了文件，但已经足够成为“不运行它”的理由。不要反过来修改参考值，让它等于自己的计算结果；那只是在比较文件与自己，失去了验证意义。

对 EXE 查看数字签名

SHA256 和数字签名不是同一种东西。前者需要你提供可信参考值；后者可以让系统返回文件的 Authenticode 签名信息。Windows PowerShell 与 Windows 上的 PowerShell 7 均提供相关命令，参见微软的 Get-AuthenticodeSignature 说明。

对于已下载的安装 EXE，或解压后准备使用的 EXE，可以只读取签名信息，不启动程序：

$programPath = 'C:\Downloads\client\client.exe'
$signature = Get-AuthenticodeSignature -LiteralPath $programPath
$signature | Format-List Status, StatusMessage, Path
$signature.SignerCertificate | Format-List Subject, Issuer, Thumbprint

先确认 Path 是你打算检查的文件，然后看 Status。如果有签名证书，再核对 Subject 等信息与项目提供的发布者说明是否对应；不要只看它是不是一个熟悉的品牌名称。

状态	应如何理解和处理
Valid	签名检查返回有效，仍需核对发布者及文件来源，不能据此保证软件安全
NotSigned	文件没有这类签名，不能直接判为恶意，也不能当作签名验证已通过
HashMismatch	文件与签名中记录的摘要不一致，暂停运行并核对来源
NotTrusted 或其他错误	当前验证存在信任、兼容性或其他问题，先读错误说明，不为通过检查而降低保护

微软的 SignatureStatus 定义特别说明，Valid 本身不表示对软件的信任。这里检查到的状态，也不等于 Windows 或安全软件对整个程序行为作出的评价。

ZIP 没有显示 Windows 可执行文件那样的签名，并不能说明解压后的每个文件都没有签名。反过来，一个主程序有签名，也不能替同目录所有附带程序、脚本或之后下载的组件背书。应针对你实际要运行的对象核对，不能以一个文件代替整套软件。

没有摘要或没有签名时怎么办

有些项目没有给每个附件公布 SHA256，也可能没有为某些 Windows 程序提供 Authenticode 签名。缺少一种验证材料，意味着少了一种核对手段，不自动等于有毒，也不自动等于安全。

如果没有可信参考值，仅计算本地 SHA256 只能留作以后比较，不能证明“这是作者原版”。如果发布者发生变化，应回到项目发布说明核对是否有迁移或签名变更，不要接受下载站客服一句“正常，直接允许”。无法说明来源时，继续暂停比盲目放行更合适。

对安装过程中的管理员、VPN 和根证书请求，还要另行判断用途，可参照本站的客户端权限检查指南。文件一致性验证不是授予所有权限的理由。

保留一份能复查的下载记录

确认文件后，可以在自己的笔记中保存项目入口、版本、完整附件名、参考摘要和计算结果。有签名时，再记录发布者与检查日期。这样下一次更新、重新下载或求助时，就能讲清楚“检查的是哪个文件”，而不是只说“最新版”。

无需为校验把个人订阅、节点密码或含账号的配置上传到第三方检测网站。这里处理的是公开发布的程序文件，不是你的私人配置；截图求助时，也应裁掉用户名路径及无关个人信息。

把流程记成一句话即可：先确认参考值来自谁，再比较同一个文件，最后按类型检查签名。 即使这些项目都符合预期，也保留系统安全检查；若仍有恶意软件告警，先按发布方和安全软件提供的渠道核实，不使用“校验过了”作为关闭防护或忽略警告的理由。