如何辨别 Clash Verge 官方安装包（防止二次打包）

代理客户端是被恶意二次打包的重灾区——改过的安装包可能捆绑远控木马，或者悄悄把你的流量导去别人的服务器。花一分钟核对下面几点，比装十个杀毒软件都有用。

官方包的五个特征

1. 来源域名：认准 github.com/clash-verge-rev/clash-verge-rev/releases 与本站下载页提供的链接，点下载时浏览器状态栏可以看到真实 URL；
2. 文件名格式：官方命名是固定的，比如 Clash.Verge_2.5.1_x64-setup.exe。多一个「破解」「绿色版」「已激活」之类的字眼直接扔掉——这软件本来就是免费的，不存在破解版；
3. 体积：与 GitHub Releases 页面每个文件旁标注的大小逐一核对。下载站塞给你的「高速下载器」体积和官方标注对不上，一律不要运行；
4. 签名文件：Releases 里每个安装包都配有 .sig 文件，是 Tauri 更新器的签名，二次打包者伪造不了配套签名；
5. 哈希校验：终极手段，Windows 下执行：

certutil -hashfile Clash.Verge_2.5.1_x64-setup.exe SHA256

把结果和 GitHub Releases 页面展示的 digest 对比，一致即为原版。

这些渠道要警惕

• 搜索引擎广告位里的「Clash Verge 官网」——广告位是花钱就能买的；
• 网盘、QQ 群文件里的安装包，无论发的人多热心；
• 要求你先关闭杀毒软件再安装的任何提示。