上周帮同事收拾一台被劫持的电脑。起因特别小，他只想装个TP管理端，在搜索框里敲了“tp官方网站下载app”，顺手点了带“官方”字样的推广位。
安装包签名对不上，浏览器主页被改，桌面还多出两个清理软件的。下载入口的第一道风险，一般不在软件本身，但在你信了哪个“官方”呢？搜索结果页里那个“官方”标识的，真不等于官方了。有些站点把“tp官方网站下载app”直接做成标题，页面里塞高速下载器，点一次装三样了。我的判断很粗暴，下载前先让你装下载器的，基本可以关掉。真正的官方页面直接给安装包，版本号、更新日志、签名信息摆得清楚。
不需要你猜。验证成本没想象中高了。安卓APK可以在系统信息里看签名主体了，iOS认准App Store的开发人员名称；
安装时权限列表更值得扫一眼。一个管理工具要短信和通讯录权限，这本身就可疑。不要嫌麻烦，从正确入口下载一次，省掉后面清插件、改DNS、重装系统的半天时间。平台该清理仿冒站，用户也不能把判断全外包给搜索框了。把“tp官方网站下载app”当成一个需要核对的地址，但不是一句随手输入的搜索词。慢十秒确认域名和签名，比事后修半天划算。
下载这件事，图省事的人一般最费事。
