「从哪下载」这个问题的权重，往往比「下载哪个软件」更高。同一个软件名，搜索结果第一页可能挤着七八个来源，有些只是重新打包，有些在安装包里塞了额外的东西。本文给出一套可复用的核对流程，不需要任何安全工具也能执行。
一、先找官网，再找下载按钮
搜索引擎的推广位与聚合下载站排在前面的情况很常见。判断一个站点是不是官网，可以看几个细节：
- 域名与项目名对应：例如 7-Zip 是
7-zip.org、VLC 是videolan.org、GIMP 是gimp.org。带-cn、-down、soft-之类前后缀的域名，通常是第三方站点 - 页面内容完整：官网会有文档、更新日志、开发者信息与许可证说明；只有「立即下载」大按钮、其他栏目点开全是广告的页面，基本不是官网
- 不在下载按钮周围堆叠诱导：官网的下载按钮附近通常很干净，不会同时出现三个「高速下载」「安全下载」「官方下载」
开源项目还有一条更可靠的路径：先到项目的代码托管主页（GitHub、GitLab、Gitee 等）看 Releases，说明里一般会给出官网地址与官方下载链接，两边对得上就可以放心。
二、下载页要看什么
正规的下载页通常提供比「一个按钮」更多的信息，这些信息正是核对的依据：
- 版本号与发布日期：确认你要下的是当前稳定版，而不是几年前的旧包
- 文件大小与文件名：下载完成后对一下，差得离谱说明文件不对
- 校验值：不少项目会提供 SHA-256 或 SHA-512 摘要，供你核对完整性
- 签名说明：部分项目会说明安装包带有代码签名，以及签名主体的名称
三、用数字签名确认「是谁发布的」
Windows 上查看安装包的签名很简单：右键文件 →「属性」→「数字签名」选项卡。如果列表里有签名，双击可以看到签名者名称与时间戳。要点是签名者要与软件厂商对应：签名为「某某网络科技」却声称是国外开源项目，就需要警惕。
注意两点局限：一是没有签名不等于有毒，很多小型开源项目确实不做代码签名；二是有签名也不代表内容一定安全，签名只能证明「这个包由该主体发布」，不能证明该主体本身可信。所以签名要结合来源一起看，不能单独作为判断依据。
四、用哈希值确认「文件没被改过」
如果项目在下载页公布了 SHA-256，核对方式如下（Windows 自带命令，无需装软件）：
- 在安装包所在目录按住 Shift 右键，选择「在此处打开 PowerShell 窗口」
- 执行
Get-FileHash .\文件名 -Algorithm SHA256 - 把输出的字符串与官网公布的摘要逐位比对，必须完全一致
比对时容易踩的坑：官网给的可能是 Base64 而不是十六进制；可能给的是 SHA-1 或 MD5；也可能摘要对应的是另一个架构的包（x64 与 arm64 不同）。遇到不一致，先确认这三件事，再怀疑文件本身。
五、安装过程中的两次确认
安装包没问题，不代表安装过程就安全。两点值得养成习惯：
- 选自定义安装：不少安装程序默认勾选「附加组件」「推荐软件」「修改主页」，自定义安装能看到这些勾选项并取消
- 看清楚权限请求：一个看图工具要求安装系统服务、一个文本编辑器要求开机自启并常驻，都算超出职责范围，值得停下来想一想
装完后如果发现浏览器主页被改、多出不认识的计划任务或启动项，可以用系统自带的任务管理器「启动」页排查，或用 BleachBit 这类工具清理多余的临时文件与缓存。对下载来的文件本身，装之前先让安全软件扫一遍，成本很低。
六、给常用工具定一条固定路径
最省心的做法是为常用软件定一条固定路径，并且只认这条路径：
- 浏览器：Firefox 等直接走官网下载页
- 压缩工具：7-Zip 官网下载，注意区分 x64 与 arm64
- 启动盘工具：Rufus、Ventoy 从项目主页的 Releases 获取，并核对校验值
- 下载与传输：qBittorrent、LocalSend 只用官方发布渠道
把这几个地址收藏起来，以后不再从搜索结果进入下载页，「下错包」这件事基本就不会发生了。核对只多花一两分钟，换来的是安装包里每一个文件都可追溯——这笔账怎么算都划算。