被篡改的安装包很少直接露馅，它们通常保持图标、名称和界面完全一致，只在签名、权限和后台行为上留下痕迹。看懂这四类手法，大部分问题在安装前就能拦下来。
安装包被解开后塞入推广模块，再重新签名压缩。图标、名称、版本号几乎不变，只有签名指纹和文件体积对不上，装完才发现多出几个删不掉的服务。
页面上浮出一层「立即更新」或「加速下载」的按钮，点一下浏览器就开始往临时目录拉文件。真正要装的包反而没下到，多出来的东西却已经落地。
一个用来查规则、看牌路的工具，却要读取短信、通讯录、通话记录，甚至申请无障碍服务与设备管理器。功能与权限之间没有对应关系时，就该停手。
把几个旧版本重新放出来，版本号看着不高，很容易被当成「稳定版」，实际上缺少后续修补的安全更新，反而比新版本更脆弱。
同样是安装包，从官网直下、从第三方站点抓、从网盘转存、从朋友处传过来，风险点完全不同。先认出渠道，再决定核验顺序，效率会高很多。
重点核对域名拼写与 HTTPS 证书主体，注意多一个连字符、换一个后缀的近似域名。下载页标注的版本号应与版本说明页完全一致。
先找页面有没有公开文件哈希值。凡是只给下载按钮、不给校验信息、还附带多个「高速通道」的，一律按未经核验处理。
分享链接可被随时替换，转存后文件名也可能被改。拿到文件先看大小与修改时间，再在本地做一次签名核验，别直接双击安装。
确认对方手机上的来源渠道，并在两台设备上比对签名指纹。两边指纹一致、且与公开版本对得上，才说明这个包在中途没有被换过。
顺序不要打乱：来源没过关就不必看签名，签名没过关就不必装上去看权限。每一步都有明确的通过条件，不符合就停在原地。
逐字核对域名拼写，点开地址栏证书查看主体与有效期，确认下载页所属站点与该域名一致。
用系统自带的安装包信息页或校验工具读取签名指纹，与官方公布的数值逐位比对，同时核对文件体积。
安装向导里逐条判断每一项权限是否有对应功能，遇到与功能无关的敏感权限直接取消勾选或终止安装。
装完观察后台常驻、流量走向与通知来源，确认没有多余服务自行启动，也没有频繁弹窗引导跳转。
把两类包放在一起对照，绝大多数判断都不需要专业工具，只看安装前后的几个固定位置就能区分开。
出现两项以上，建议直接放弃这次安装。
四项都满足，才算通过基础核验。
权限判断的标准只有一条——它是否服务于你正在使用的这个功能。对不上的，就是多余的。
用于保存本地练习记录、导出的核验清单与截图留档，读写范围应限定在应用专属目录内。
用于拉取规则条目与版本说明，只在与使用期间生效即可，无需常驻后台联网。
用于版本更新提醒与核验结果提示，可随时在系统设置里关闭，不影响主体功能。
与规则阅读、牌路复盘没有任何关系，一旦被索要，说明安装包已经偏离原始版本。
这两项权限可以读取屏幕内容、阻止卸载，是仿冒包最常用的两类入口，出现即终止安装。
更新不是点一下「确认」就结束的事。每一次替换都应该留下旧包、签名指纹和版本说明，出问题时才有退路。
看清这一版改了哪些条目、修复了什么问题、有没有调整权限范围。说明写得含糊、只写「优化体验」的版本，先缓一缓再更。
新版本的签名指纹应当与上一版本完全相同。指纹发生变化，说明签名主体被换掉，此时覆盖安装本身就存在风险。
不要临时去网上重新找旧版本，那正是仿冒包最容易混进来的环节。用自己核验过并保存下来的那一份，风险最低。
把判断拆成固定条目，一次完整的核验通常在两分钟内完成，成本远低于装错之后的清理。
来自练习群的核验记录，整理时保留了原始判断过程，可以对照自己的情况参考。
「之前图省事从聚合站下的，装完发现多了一个从没见过的后台服务。后来按四步走，先看哈希再装，同一个包在两个站点的签名指纹对不上，问题就很明显了。」
「我最在意权限那一步。查规则的工具有什么必要读通讯录？现在装之前先翻一遍权限页，对不上的直接取消，卸载之后确实清爽很多。」
「回滚这件事吃过亏。更新完发现旧功能没了，临时上网搜旧版本，下回来的是个改过的包。现在每装一次就把哈希和安装包存进同一个文件夹。」
新出现的仿冒手法、权限变更、版本差异，都会在这里更新成可以对照的条目。