client/desktop · 集群 A · Windows 与 macOS 客户端 · 6/6

如何识别安全的客户端安装包：官方发布页、校验值与破解版风险

为什么代理客户端的来源格外重要

代理客户端与普通软件不同，它天然处在你的网络流量必经之路上。系统代理模式下，浏览器的请求要经过它；TUN 模式下，几乎所有网络流量都要经过它，并且它还拥有创建虚拟网卡、修改路由表和 DNS 的系统级权限。

这意味着，一个被篡改的客户端理论上可以：

• 记录你访问的网站和服务；
• 窃取你的订阅链接，导致账号被他人盗用；
• 修改 DNS 或证书相关设置，干扰你的正常访问；
• 在后台运行其他程序。

所以，与其他软件相比，代理客户端的来源核实更值得花时间。本站不提供任何客户端下载链接，原因也在于此——请从项目官方发布页自行获取。

第一步：找到真正的官方发布页

找到官方发布页是一切的基础。可以从这几个角度判断：

需要警惕的是，搜索引擎结果中可能出现与项目名称相近的仿冒站点。建议从项目主页进入发布页，而不是直接点击搜索结果中的下载链接。

第二步：核对版本与发布说明

拿到安装包后，先核对以下信息：

1. 文件名中的版本号是否与发布页最新版本（或你要的版本）一致；
2. 平台与架构是否与你的系统匹配；
3. 发布说明中是否有特别提示，例如已知问题、需要先卸载旧版本等。

如果你看到的“最新版本”比官方发布页上的还要新，或者文件名中带有“破解”“绿色”“优化版”之类的字样，基本可以判定不是官方文件。

第三步：比对校验值

校验值是根据文件内容算出的一串字符，文件哪怕只改动一个字节，校验值也会完全不同。如果项目发布页公布了校验值（常见为 SHA256），就可以用它来确认文件未被篡改。

官方发布页公布：  安装包 A 的 SHA256 = abc123...（示意）
                      │
你下载的文件：    计算 SHA256 = ?
                      │
          ┌───────────┴───────────┐
          ▼                       ▼
       一致                     不一致
  文件与官方相同            文件被修改或损坏
     可以安装                不要安装，重新获取

计算方法（命令以系统文档为准）：

• Windows：可以使用 PowerShell 中计算文件哈希的命令，指定算法为 SHA256；
• macOS：可以在终端中使用系统自带的 SHA 计算命令，指定 256 位算法。

比对时只需逐字核对，或用文本工具搜索比对。如果发布页没有公布校验值，至少要做到前两步。

破解版、捆绑版与“汉化版”的风险

在代理客户端领域，以下几类非官方安装包较为常见，风险也最高：

尤其要警惕“内置免费节点”的版本：你的流量会经过一个完全不知道是谁运营的服务器，隐私风险极高。更多相关风险可参考 安全与隐私 专题。

安装过程中的注意点

即使安装包来自官方，安装过程中也有几点值得留意：

• 阅读每一个安装步骤，不要一路点“下一步”，留意是否有附加软件勾选项；
• 权限请求要有对应理由：修改网络设置、安装服务或扩展对代理客户端是合理的；请求访问通讯录、相册等与代理无关的权限则不合理；
• 安全软件的提示要看清楚：代理客户端修改网络设置是正常行为，但如果提示的是其他可疑行为，应先暂停核实。

Windows 和 macOS 的具体授权步骤分别见 Windows 安装代理客户端注意事项 和 macOS 代理客户端权限设置。

发现异常后的处置步骤

如果你怀疑自己安装了来源不明或被篡改的客户端，可以按以下顺序处置：

1. 断开网络，阻止可能的数据外传；
2. 关闭并卸载该客户端，按照 Windows 或 macOS 的完整卸载步骤清理服务、扩展、登录项和系统代理设置；
3. 在服务商用户中心重置订阅链接，使旧链接失效；
4. 修改可能受影响的账号密码，尤其是在使用该客户端期间登录过的重要账号；
5. 使用安全软件全盘检查；
6. 从官方发布页重新获取客户端并核对校验值后再安装。

订阅链接的重置与管理可以参考 订阅管理 专题。

小结

识别安全安装包的方法并不复杂：找对发布页、核对版本、比对校验值，再加上对破解版和捆绑版的警惕。对于一个能看到你几乎全部网络流量的软件，这几分钟的核实是值得的。

确认安装包安全后，可以参考 桌面代理客户端怎么选 与 Clash Verge Rev 安装与订阅导入 完成配置。若你在比较服务商，可以前往 机场品牌库 查看资料，或使用 对比工具 并排比较，数据来自品牌资料，本站未实测。