Clash 安装包怎样校验 SHA256 才不会比错文件

约 1680 字大约 6 分钟

2026-10-29

Clash 安装包下载完了，发布页旁边还有一长串 sha256，这东西怎么看？它用来核对文件内容，不是新的下载地址，也不是“无毒证明”。最容易出错的地方，往往不是命令，而是拿错了要比较的文件。

下面用 Windows 10、11 的 PowerShell 演示。整个过程只读文件，不需要管理员权限，也不用先运行安装包。

先找到同一个文件的官方参照值

先确认项目来源，再找校验值。比如 Clash Verge Rev 可从开发者安装说明进入发布渠道，FlClash 可核对开发者项目仓库。不要把搜索结果第一名、网盘文件名或群友发来的 Logo 当成官方身份。

GitHub 的发布资产摘要说明介绍了 Assets 旁边的 SHA256。展开你下载的那一版发布记录，找到对应文件的完整摘要；页面只显示一小段时，用该项的查看或复制入口取得完整值。没有看到就先确认页面是否加载完整，不要自己补齐省略的部分。

核对时，下面这些条件要同时对上：

如果参照值对应的是 .zip，就计算下载下来的那份 ZIP，别先解压，再拿里面的 EXE 去比较。Source code 源码压缩包也不是 Windows 安装包。文件名相似、版本号相同，都不能省掉这一步。

图里是校验思路，不是软件截图，也没有代替任何真实安装包的检查结果。

等浏览器显示下载完成后，在资源管理器里找到文件，确认它不是还在下载的临时文件。先别双击安装。

从开始菜单打开普通的 Windows PowerShell，输入下面这行。把单引号里的示例路径换成你文件的实际完整路径，其他部分先不改：

Get-FileHash -LiteralPath 'C:\Downloads\client-setup.exe' -Algorithm SHA256 | Format-List Algorithm, Hash, Path

这是读取文件并计算摘要的命令，不会安装、删除或修改它。C:\Downloads\client-setup.exe 只是路径示例，不是某个官方包的固定名称；文件在下载文件夹里，就填写那里实际保存的位置。

微软的 Get-FileHash 说明支持 SHA256 和 LiteralPath。这里用 LiteralPath 是为了按原样读取路径，避免文件名中的方括号等字符被当成通配符；外面的单引号也要保留。

输出里主要看两项：

Path 告诉你刚才算的是哪个文件，先确认没有选中旧文件或另一个同名副本；Hash 后面才是要比较的结果。窗口较窄时文字可能换行，换行不是摘要的一部分。

如果提示找不到路径，先回资源管理器核对位置、文件名和扩展名。如果提示无法读取文件，就停在这里检查访问条件，不要为了算一个摘要改权限、关闭安全软件或切到管理员模式。

SHA256 常见的十六进制写法是 64 个字符，由数字和 A 到 F 组成。发布页可能写成 sha256:一长串字符，本机结果可能全是大写。比较的是前缀后面的完整摘要，字母大小写不影响十六进制值。

别只看前四位、后四位或页面里被省略的一截。把官方完整值和本机 Hash 放到 Notepad++ 等本地编辑器里核对，留意有没有漏字、多出空格、复制到另一个文件的值。不要把安装包上传到陌生的“在线校验网站”，这一步本机就能完成。

文件改了名字，不一定改变内容，所以下载后多出 (1) 并不能单独说明校验会失败；反过来，同名文件也可能内容不同。真正比较的是文件内容，不是名字看起来像不像。

结果不一致，先暂停使用这个文件，再检查是否拿错版本、架构或格式，是否算了旧副本，是否下载未完成，或者文件经过了解压、重新打包。必要时回到已确认的发布渠道重新下载同一资产，再算一次。不要为了让数字“对上”，去改官方参照值或换成群里的另一串数字。

不一致本身不能直接证明有人投毒，也可能是文件选错或下载异常。但原因没查清之前，不适合靠双击运行来试真假。

找不到可信参照值时，单独算出一串 SHA256，并不能完成真实性核对。尤其是安装包和摘要都来自同一个陌生下载站，即使两者一致，也只是和那个站给的内容对上了。

匹配说明下载内容与所比较的发布资产相符，不等于软件绝对安全。它不能代替对发布者的判断、代码审查或安全检测，也不能证明该版本没有漏洞、适合你的系统。遇到系统安全警告，不要拿“哈希一致”当作关闭防护或强行运行的理由。

核对完来源和文件，后面的客户端操作可参考Clash Verge 入门或FlClash 入门。安装包的校验值与机场订阅链接是两回事，查校验值不需要向任何人提供订阅、节点密码或账号。