如何辨別 Clash Verge 官方安裝包（防止二次打包）

代理客戶端是被惡意二次打包的重災區——改過的安裝包可能捆綁遠控木馬，或者悄悄把你的流量導去別人的伺服器。花一分鐘核對下面幾點，比裝十個防毒軟體都有用。

官方包的五個特徵

1. 來源域名：認準 github.com/clash-verge-rev/clash-verge-rev/releases 與本站下載頁提供的連結，點下載時瀏覽器狀態列可以看到真實 URL；
2. 檔名格式：官方命名是固定的，比如 Clash.Verge_2.5.1_x64-setup.exe。多一個「破解」「綠色版」「已啟用」之類的字眼直接扔掉——這軟體本來就是免費的，不存在破解版；
3. 體積：與 GitHub Releases 頁面每個檔案旁標註的大小逐一核對。下載站塞給你的「高速下載器」體積和官方標註對不上，一律不要執行；
4. 簽名檔案：Releases 裡每個安裝包都配有 .sig 檔案，是 Tauri 更新器的簽名，二次打包者偽造不了配套簽名；
5. 雜湊校驗：終極手段，Windows 下執行：

certutil -hashfile Clash.Verge_2.5.1_x64-setup.exe SHA256

把結果和 GitHub Releases 頁面展示的 digest 對比，一致即為原版。

這些渠道要警惕

• 搜尋引擎廣告位裡的「Clash Verge 官網」——廣告位是花錢就能買的；
• 網盤、QQ 群檔案裡的安裝包，無論發的人多熱心；
• 要求你先關閉防毒軟體再安裝的任何提示。