01
确认来源域名
检查是否使用HTTPS、域名拼写是否准确，并警惕短链、多次跳转、相似字符和异常子域名。
分层核验
输入待检查信息
检查方法
四步判断应用来源与文件完整性
单一指标不能完全证明应用真实可靠。建议同时核对来源、签名、文件哈希和安装行为。
02
核对签名与渠道
Android更新前后应保持相同签名；iOS应确认App Store、TestFlight或可信企业渠道信息。
03
比对SHA-256
本地计算文件哈希，并与发布方独立公布的值逐字符比对；任何差异都意味着文件内容不同。
04
识别异常行为
警惕异常权限、签名变化、强制站外更新、诱导付款以及索取账户敏感信息等行为。
常见问题
真伪核验说明
了解哈希、签名和来源检查的适用范围，避免仅凭文件名称或图标作出判断。
SHA-256相同只能证明当前文件与用于比较的文件内容一致。还需要确认参考哈希是否来自可信、独立且未被篡改的发布渠道。
同一Android应用的正常更新通常应由相同证书签名。签名发生变化可能表示发布主体改变、重新签名或文件被第三方修改，应暂停安装并核对发布说明。
不会。文件哈希通过浏览器提供的加密接口在当前设备计算。本页面不会主动上传所选文件，但仍建议不要在公共设备上处理敏感文件。
不代表。HTTPS可以保护传输过程，但仿冒网站同样可能配置HTTPS。还应核对完整域名、跳转目标、发布主体和安装包签名。