下载来源核实：先确认发布主体

安装应用之前，最重要的是确认“这份文件是谁发布的”。页面看起来像品牌站点，或在搜索结果中排在前面，都不能单独证明发布身份。

核对发布渠道

比较官网声明、应用商店开发者名称和实际跳转域名。留意拼写相近的域名，以及从说明页跳到不相关文件站的链接。

检查版本记录

版本号、发布日期和更新说明应能互相对应。只写“最新版”而没有具体标识，不利于日后核查。

查看文件信息

文件名并非身份凭证；如平台提供数字签名、发布者信息或文件哈希，可与可信来源所列信息对照。没有参考值时，单独计算哈希并不能证明安全。

识别异常引导

要求关闭安全保护、绕开商店提示或额外安装不相关组件的页面，应当视为需要进一步核实的信号。

记录核查结果

保存渠道、版本、时间和疑点。资料无法互相印证时，不要把“尚未发现问题”等同于“已经验证安全”。

继续阅读：返回安全指南，或查看安装权限与可疑安装包检查清单。