imToken 安装包 SHA256 校验与签名验证教程

SHA256 校验就是给安装包算一个"数字指纹"。文件哪怕只被改了 1 个字节，指纹也会完全不同。只要你算出的值和官方渠道公布的值完全一致，就说明安装包没有被篡改。

为什么必须校验？

假钱包通常是把正版 APK 解包、植入窃取助记词的代码后重新打包。重新打包后，SHA256 一定会变，而且签名证书无法伪造（骗子没有官方私钥）。这两项检查叠加，可以挡住绝大多数假包。

第一步：计算 SHA256

Windows（PowerShell 或 CMD）

certutil -hashfile imToken.apk SHA256

或者用 PowerShell：

Get-FileHash .\imToken.apk -Algorithm SHA256

macOS

shasum -a 256 ~/Downloads/imToken.apk

Linux

sha256sum imToken.apk

Android 手机

可以用开源的文件哈希工具（从 F-Droid 等可信来源安装），选择安装包后查看 SHA-256 值。

第二步：与官方值比对

• 官方哈希值只能从官网或官方公告渠道获取，不要相信第三方网站（包括本站）给出的数值，因为每个版本的哈希值都不一样；
• 64 位字符要完整比对，不能只看开头几位；
• 如果官方当前版本没有公布哈希值，就以第三步的签名校验为准。

第三步：校验 APK 签名证书（更可靠）

安装 Android SDK Build-Tools 后执行：

apksigner verify --print-certs imToken.apk

记下输出中的 Signer #1 certificate SHA-256 digest。验证方法有两种：

1. 与你从 Google Play 安装的正版提取出的证书指纹比对；
2. 升级时 Android 会自动校验签名：如果提示"签名不一致，无法覆盖安装"，立刻停止，很可能是假包。

iOS 用户怎么办？

iOS 应用由 App Store 统一签名，无法手动算哈希。你需要核对的是：开发者名称与官网公示一致、评分评论数量正常、没有通过"企业证书""描述文件""TestFlight 邀请"之类的方式安装。

✅ 校验通过后，下一步请阅读 助记词防泄露安全清单。