查看易翻译安装包的数字签名时，应直接检查签名状态、证书颁发机构、签名时间戳与哈希值，并比对发布者名称与官方渠道信息，必要时在线撤销查询证书状态，确保安装包来自可信源且未被篡改。
易翻译：为什么要验证安装包的数字签名
确认签名存在与完整性
- 核心结论：确认安装包包含数字签名并且验证通过可以排除大部分被篡改或注入恶意代码的风险，优先查看签名状态字段是否显示为“已签名且有效”。
- 操作要点：使用系统自带工具或签名检测工具打开文件属性或命令行验签，查看是否存在签名时间戳以及签名链完整性，确保中间证书没有缺失。
- 安全建议：即便签名存在也要核对发布者名称与证书颁发机构，警惕自签名证书或不受信任的颁发方，结合哈希比对确认文件在传输中未被改动。
比对发布者信息与官方渠道
- 强制核查：对比签名中显示的发布者名称与易翻译官网、应用商店或官方渠道发布的信息，发现不一致时暂停安装并向官方咨询核实来源。
- 下载来源：优先从易翻译官网、官方镜像或知名应用商店下载安装包，避免第三方站点或不明来源提供的安装包带来的风险。
- 二次验证：在官方渠道不可用时，可通过官方社交账号或客服确认发布包的哈希值或签名指纹再进行安装，防止恶意替换。
易翻译：在不同操作系统查看数字签名的方法
在 Windows 上查看安装包签名
- 使用文件属性：右键安装包选择“属性”->“数字签名”选项卡，查看签名者、签名时间戳与证书详情，并通过“详细信息”验证签名链完整性。
- 使用 signtool：在命令行运行 signtool verify /pa <文件路径>，检查返回结果中的证书链与时间戳，确认签名是否被识别为受信任。
- 检查证书吊销：打开签名证书详情，使用“查看证书”中的“状态”或在线 OCSP/CRL 查询，确认证书未被撤销或过期再继续安装。
在 macOS 上验证签名和发布者
- 使用 spctl 工具：在终端运行 spctl –assess –type install <文件路径>，根据返回结果判断是否通过 Gatekeeper 校验以及是否识别为已签名应用。
- 使用 codesign 命令：运行 codesign -dv –verbose=4 <应用路径> 查看签名者、团队ID及时间戳，确保和易翻译官方提供的信息一致再打开安装包。
- 核对开发者标识：检查签名中的开发者ID或团队标识与易翻译官方公布的开发者信息匹配，若不同应立即停止安装并上报。
易翻译：如何核对证书颁发机构与签名时间戳
查看证书链并确认根证书可信
- 验证根证书：在证书详情中逐级查看证书链，确认根证书是由受信任的证书颁发机构签发，并在系统受信任根证书列表中存在。
- 检查中间证书：确保所有中间证书完整且未过期，缺失中间证书会导致签名验证失败或产生信任警告，需要从颁发机构补全证书链。
- 警惕自签名：若签名链以自签名证书结束或颁发机构名不明，应视为高风险，建议联系易翻译官方确认或弃用该安装包。
验证时间戳与签名有效期
- 查看时间戳：检查签名是否包含时间戳，时间戳能证明签名在证书有效期内进行，若缺失则无法证明签名在证书有效期内完成。
- 确认证书有效期：比对签名时间与证书有效期，若签名时间在有效期之外或证书已过期，应拒绝安装并联系发布方更新签名。
- 使用在线服务：对可疑签名使用 OCSP 或 CRL 在线查询证书是否被吊销，及时发现被撤销或受限的证书以避免风险。
易翻译：使用哈希和指纹进行二次验证
获取官方提供的哈希值并本地比对
- 请求官方哈希：从易翻译官网或官方渠道获取发布包的 SHA256 或 SHA512 哈希值，优先使用官方页面或发布声明中的校验值进行比对。
- 本地计算哈希：用系统自带命令或常见工具计算下载文件的哈希值，然后与官方公布的哈希进行逐位比对，发现不一致立即弃用。
- 保存核对记录：将核对结果截图或保存为文本，作为日后审计或向官方反馈时的证据，便于追溯和问题定位。
使用签名指纹确认发布者身份
- 查看证书指纹：在证书详情里查找 SHA1 或 SHA256 指纹，与易翻译官方公布的证书指纹进行比对，确保签名者确实是官方实体。
- 比对多渠道信息：同时在官网、官方社交媒体或客服处确认指纹一致性，避免单一渠道被篡改导致误判签名来源。
- 定期更新指纹信息：发布方更新证书时，官方会公布新指纹，用户应及时关注并使用最新指纹比对，避免误用旧证书。
易翻译：异常签名与遭篡改时的应对步骤
发现签名异常立即停止安装
- 停止安装操作：一旦发现签名状态为无效、证书链不完整或发布者与官方不符，应立刻中止安装并断开与不明来源的进一步交互。
- 保存证据：保存文件、签名详情截图和下载来源等证据，便于后续向易翻译官方、安全团队或相关平台举报并协助调查。
- 扫描与隔离：在本地进行全面杀毒与沙箱分析，若怀疑已执行或被感染，建议使用离线系统或求助专业团队进行清理与恢复。
向易翻译官方与安全机构上报问题
- 联系官方渠道：通过易翻译官网公布的客服或安全邮箱提交问题报告，附带签名详情、哈希值和下载来源，便于官方快速核实与处置。
- 向平台举报：如果安装包来自第三方平台，向平台方提交证据请求下架可疑文件，并提醒其他用户注意风险和撤回下载链接。
- 请求取证支持：如怀疑受到攻击或泄露，及时联系专业安全服务或开展取证，保存网络日志和相关文件以利于追踪攻击源。
常见问题（FAQ）
易翻译安装包没有签名可以安装吗？
不建议安装未签名的易翻译安装包。未签名的软件无法证明来源与完整性，存在较高的被篡改或包含恶意代码的风险，应优先从官方渠道获取已签名版本。
签名显示有效但发布者名称不熟悉怎么办？
当签名通过但发布者名称与易翻译官方信息不一致时，应暂停安装并通过易翻译官网或客服核实该名称是否为官方的子公司或第三方合作方，确认无误后再安装。
如何验证易翻译提供的哈希值是真实的？
从多个官方渠道交叉验证哈希值，如官网发布页面、官方帐号和电子邮件公告，避免仅依赖单一来源，必要时向客服索要签名或指纹的确认信息。
发现可疑安装包后我需要做什么？
立即停止使用并断网保存证据，然后向易翻译官方和下载平台上报问题，同时用杀毒软件扫描与隔离可疑文件，必要时寻求专业安全支持进行深入检测。
