核对下载的安装包

官网下载区「核对安装包」那一行有两个链接:电脑版、安卓版。每次发版,它们和安装包由同一趟自动流程生成、一起换上去,里面一行一个包:前面是 SHA-256 值,后面是文件名。

在你下载的那台电脑上算一下,和对应那一行比:

• Windows(PowerShell):Get-FileHash .\zhujian_<版本>_x64-setup.exe,看 Hash 那一栏。它印的是大写,文件里是小写,大小写不算差别。
• macOS:shasum -a 256 zhujian_<版本>_aarch64.dmg
• Linux:把校验文件和包放在同一个目录,sha256sum -c --ignore-missing SHA256SUMS-desktop.txt,对得上会印 OK。
• 安卓:手机上不好算,可以在电脑上下载同一个 APK,照上面的办法算。

⚠ 它能查出什么、查不出什么:校验文件和安装包放在同一台服务器上,所以它能查出下载坏了、没下完;挡不住服务器本身被人改(那样两样可以一起被换)。后一种靠的是签名:

• 电脑版的更新包有开发者签名,app 自动更新前会用内置的公钥核一遍,核不过就不装。Windows 安装包和 Linux 的 AppImage 本身就是更新包,所以它们的签名也能核;macOS 的 dmg 和 Linux 的 .deb 没有这层签名。公钥是公开的,在源码仓的 src-tauri/tauri.conf.json 里(plugins.updater.pubkey)。想自己核一遍:克隆源码仓,在仓根跑 node scripts/verify-update-signature.mjs(要 Node 18 或更新)。它会取线上的更新清单,把那几个包下载下来,用那把公钥逐个验签,每个平台印一行结果。
• 安卓的 APK 用固定的证书签名。换了证书,系统会拒绝覆盖安装已经装着的朱简。