qBittorrent / 下载安全检查
下载前后的安全检查清单
BT 本身不会给你文件「消毒」，它只负责把数据传完。真正的安全来自来源可验证 + 文件可校验 + 运行前隔离这三件事。这一页给出一份可以照着做的清单：下载前先看来源与文件构成，下载后先校验再打开，可疑内容一律先隔离。注意：本站不会承诺任何文件「绝对安全」或「百分百无毒」——这类承诺本身无法验证。
下载前：四个可以先确认的点
这一步成本最低、收益最大——很多风险在按下「下载」之前就能排除。
| 检查项 | 危险信号 | 怎么确认 | 处理 |
|---|---|---|---|
| 来源是否可追溯 | 只在论坛/网盘里散发的链接 | 能否找到官方或原作者页面 | 找不到就不下；官方渠道优先 |
| 文件构成是否合理 | 一部电影里有 .exe / .scr / .bat | 在客户端里展开文件列表后再决定 | 媒体文件不需要可执行文件，直接放弃 |
| 是否含密码压缩包 | 「解压密码在说明里」「密码是网址」 | 看文件列表是否为 .rar/.zip/.7z 且注明加密 | 见下方专节：这是高风险信号 |
| 体积是否异常 | 同内容体积差距过大、或小得离谱 | 与官方公布的文件大小对照 | 偏差异常先别下 |
| 是否有官方校验值可比对 | 官方页面提供了哈希或签名而你不用 | 去官方页面找 SHA-256 / PGP 签名 | 记下来，下载后立刻比对 |
高风险扩展名有哪些：双扩展名识别
Windows 默认隐藏已知扩展名，这正是双扩展名骗术能生效的原因。
| 类型 | 例子 | 风险 | 处置 |
|---|---|---|---|
| 可执行文件 | .exe、.msi、.scr、.com、.pif | 直接运行代码 | 只在来源为官方且校验通过时使用 |
| 脚本文件 | .bat、.cmd、.ps1、.vbs、.js、.jar | 可执行任意指令 | 不了解内容就不要运行 |
| 快捷方式 | .lnk | 常被用作跳板，指向远程路径 | 直接删除 |
| 双扩展名 | video.mp4.exe、图片.jpg.scr | 系统只显示到第一个「.」之后的假象 | 打开「显示文件扩展名」后重新确认 |
| 伪装图标 | 扩展名是 exe 但图标是播放器/PDF | 诱导双击 | 看扩展名而不是看图标 |
| 压缩包套娃 | 压缩包里还是压缩包 | 规避扫描的常见手法 | 逐层解压前先扫描 |
为什么密码压缩包特别危险
加密压缩包本身是正常功能，但它在分发场景里常被这样利用——这五点值得知道。
| 因素 | 发生了什么 | 后果 | 你可以怎么做 |
|---|---|---|---|
| 扫描引擎看不到内容 | 杀毒软件无法解开加密内容做检测 | 恶意文件可以「干净」地通过扫描 | 不要因为「扫描通过」就信任加密包 |
| 密码随处可得 | 密码通常就写在同一个页面或文件名里 | 加密不提供任何保护，只规避扫描 | 把「需要密码」当作风险信号 |
| 诱导关闭防护 | 说明里要求「运行时先关闭杀毒软件」 | 这是最强的危险信号之一 | 任何要求关防护的内容，直接放弃 |
| 内容不可预览 | 看不到里面是什么文件 | 无法执行「下载前检查文件构成」 | 无法核验就按不可信处理 |
| 哈希无法预先比对 | 加密改变文件内容 | 即便官方有校验值也无法直接比对 | 需要先解密再比对，流程更复杂 |
校验：哈希与 PGP 签名怎么用
两者解决的问题不同：哈希证明「文件没变」，PGP 签名证明「来源确实是官方」。
| 手段 | 能证明什么 | 不能证明什么 | 怎么用 |
|---|---|---|---|
| SHA-256 校验值 | 你拿到的文件与官方公布的完全一致 | 无法证明「公布哈希的那个页面」就是官方 | 从官方页面取哈希，本地算一遍比对 |
| PGP 签名 | 发布物由持有对应私钥的官方发布者签出 | 不能保证该版本本身没有漏洞 | 导入官方公钥 → 验签 → 再看是否匹配 |
| 文件大小与命名 | 与官方记录的一致性 | 可被伪造 | 作为辅助判断，不作为唯一依据 |
| 发布渠道 | 你是否从官方流程取件 | — | 官方站点/官方仓库 Releases 优先 |
5B7CC9A2，指纹 D8F3DA77AAC6741053599C136E4A2D025B7CC9A2，公钥文件就在仓库根目录（5B7CC9A2.asc）。这就是「可验证」的标准做法：指纹、公钥、签名文件都来自同一个官方仓库。下载后的五步处理
这一节写给「已经下完了」的情况。顺序不要颠倒：先校验，再扫描，最后才考虑打开。
先做完整性校验
在客户端里对任务执行「重新校验」，确认分块哈希全部通过；有过官方哈希的，再算一次文件级哈希与官方值比对。预期结果：校验通过；不通过说明传输损坏或被改动，重下。
只扫描、不打开
用本地安全软件对文件（尤其是压缩包）扫描。注意：「扫描通过」不等于安全，尤其对加密压缩包基本无意义。
解压到独立目录
不要解压到系统目录或下载目录根下，避免与其它文件混在一起。预期：可疑内容被限制在一个可整体删除的目录里。
再检查一次文件构成
解压后重新看一遍扩展名清单，确认没有多出来的可执行文件或快捷方式。这一步常能发现「压缩包套娃」。
可执行文件走隔离环境
确实需要运行的程序，优先在虚拟机或沙箱里跑一次。原则：对来源不是官方、或校验未通过的安装包，宁可不运行。
本站不会做哪些承诺
安全类内容最容易写成不可验证的承诺。下面把边界写清楚。
| 不写 | 原因 | 本站怎么写 |
|---|---|---|
| 「绝对安全」「百分百无毒」 | 无法验证，且安全是动态的 | 「当前检测未发现明显异常」「建议从官方地址下载并自行核验」 |
| 「永久稳定」「永久免费」 | 时间尺度上不可承诺 | 「截至某时间的版本与许可状态」 |
| 「官方唯一入口」 | 官方可能多渠道发布 | 「官方站点与官方仓库」 |
| 「保证高速」 | 速度取决于做种者与网络 | 给出影响速度的可验证因素与排查顺序 |
| 「某站很安全」 | 第三方站点状态不可持续核验 | 不评价第三方站点；只给自验方法 |
qBittorrent 下载安全常见问题
做法基于公开安全实践与 qBittorrent 官方签名机制；本站未做任何样本实测，也不提供检测结论。
BT 下载的东西比网页下载更危险吗？
协议本身没有更危险，但分发场景更宽松：任何人制种即可传播，缺少中心化的审核环节。所以风险主要来自「来源不可追溯」和「文件构成不透明」，而不是 BT 技术本身。按来源可追溯 + 下载前看构成 + 下载后校验这套流程走，风险就能显著下降。
哈希对不上怎么办？
先排除流程问题：确认比对的是同一个文件、官方哈希没有抄错、计算工具没有做额外处理（例如对压缩包是在压缩前还是压缩后计算）。以上都确认无误后仍不一致，就按「文件不可信」处理——删除并重新从官方渠道获取。不要抱侥幸心理打开它。
PGP 签名看起来太复杂，学得会吗？
核心只有三步：①从官方仓库或官网拿到公钥并核对指纹；②用公钥验证签名文件；③看结果是否有效。关键不在于工具，而在于「公钥与指纹必须来自官方渠道」——如果公钥是别人转给你的，验签结果没有意义。qBittorrent 正好是个好范例：指纹写在 README 里，公钥文件在仓库根目录。
杀毒软件没报毒，是不是就安全了？
不是。两个原因：①加密压缩包的内容扫描引擎看不到；②新的或针对性的样本常常在扫描规则更新之前就已经分发了。所以安全判断要把「来源是否官方 + 是否有官方校验值 + 文件构成是否合理」当作主要依据，扫描只是其中一层。
要运行下载来的程序，最稳的做法是什么？
如果它是官方软件：从官方渠道取、验签通过、再装。如果它不是官方渠道发布、或者没有任何可验证的校验信息：优先不要运行；确实需要研究的，放在虚拟机或沙箱里跑，并且不要在该环境里登录任何私密账号。
为什么不推荐任何「资源站」？
因为本站无法持续对第三方站点做可用性、跳转风险与版权状态的核验。推荐等于替不可核验的对象背书，这既不负责也不可持续。本站能长期做的是：告诉你官方来源长什么样、怎么自验、以及哪些内容是明确不该找的。
本站给的是安全结论吗？
不是。本站给的是检查方法与判断顺序，不针对任何具体文件下结论，也不承诺任何文件安全。任何安全判断都需要结合你自己的来源、环境与最新信息来做。