使用 SHA-256 验证下载：包身份和文件完整性

检查下载的包

从同一官方 Flux 版本获取软件包和 SHA256SUMS.txt。在 Windows 上，Get-FileHash 可以计算文件的 SHA-256 值。将完整值与该确切包文件名的条目进行比较。不匹配是停止并调查下载的原因，而不是将比较缩短到几个字符。

Get-FileHash -Algorithm SHA256 -LiteralPath '.\Flux_2.6.6_x64-setup.exe'

期望值也必须可信

从与文件相同的不受信任的重新打包页面复制的校验和仅证明与该页面一致。使用项目的实际版本作为参考。如果发布者提供签名或其他可信校验和，请保留该上下文，而不是将其替换为不相关的搜索结果。

三种不同目的的检查

• 检查点检查在继续之前验证保存的传输数据。
• 最终 SHA-256 检查描述了已完成文件的字节。
• 更新程序签名根据应用程序的密钥验证更新包。
• Windows Authenticode 通过不同的证书系统识别发布者。

将结果应用到您的工作流程中

当前的 Flux 软件包在发行说明中记录了其发布者签名状态。更新程序签名本身不会删除 Windows 发布者警告。同样，torrent 片段哈希验证与元数据的一致性，而不是其内容的安全性。保持完整性、来源和打开文件的决定作为单独的检查。