仿冒客户端与钓鱼官网怎么识别？下载、校验与域名核对全流程

识别仿冒客户端和钓鱼官网，关键是只认官方来源并在安装前核对：开源客户端只从项目的 GitHub 官方仓库发布页下载，手机应用只从正规商店获取；访问机场官网只通过收藏夹或官方公告，逐字核对域名。做到这两点，绝大多数仿冒和钓鱼都能避开。

常见的仿冒手法

• 仿冒下载站：页面模仿项目主页，安装包被捆绑了木马或挖矿程序。
• 改名“汉化版”“破解版”：开源客户端本身免费，所谓破解版往往就是恶意软件。
• 商店仿冒应用：名称和图标与知名客户端相近，上架后要求注册、充值或填写与订阅无关的信息。
• 钓鱼机场官网：域名与原站只差一个字母或换了后缀，用来骗取账号密码和付款。
• 假客服私聊：主动发来“新官网”“补偿链接”或付款码，这类手法在机场出问题时尤其常见，背景见 机场跑路风险识别与避坑。

客户端只从官方渠道下载

各客户端的正确安装方法可以参考 Clash Verge 使用教程，具体菜单以当前版本为准。

核对 GitHub 仓库的三个要点

1. 仓库地址：从项目文档或可信的教程中确认完整地址，不要只看仓库名。
2. 活跃度：官方仓库通常有较长的提交历史、大量议题讨论和持续的版本发布；新建的、只有一两次提交的仓库要警惕。
3. 发布页：只下载 Releases 页面中的附件，不要点击 README 里指向第三方网盘的链接。

用哈希值校验安装包

如果项目在发布页提供了校验值，下载后可以比对文件哈希。Windows PowerShell：

Get-FileHash .\安装包文件名.exe -Algorithm SHA256

macOS 或 Linux：

shasum -a 256 ./安装包文件名.dmg

输出的哈希值与发布页给出的值完全一致，才说明文件在下载过程中没有被替换。发布页没有提供校验值时，至少要确认下载链接来自官方仓库本身。

识别钓鱼官网

• 逐字核对域名：留意 l 与 1、o 与 0 的替换，以及多出来的连字符或不同后缀。
• 固定访问入口：第一次确认无误后加入收藏夹，以后只从收藏夹进入。
• 警惕陌生链接：群聊、私信、邮件里的“新地址”先与官方公告渠道核对。
• 看登录后行为：要求重复填写支付信息、索要验证码或身份证件的页面，立即关闭。

安装前自查

• 下载地址是否来自官方仓库或正规商店
• 仓库名称、组织名、开发者名称是否核对无误
• 哈希值是否与发布页一致（如有提供）
• 安装过程是否要求注册、充值或额外权限
• 访问的机场官网域名是否与收藏夹中的一致

跑路前后仿冒站点尤其活跃，可以同时留意 机场跑路前的常见征兆。使用任何工具都请遵守所在地法律法规和服务条款。