文件不会离开浏览器
LOCAL · PRIVATE · VERIFIABLE先验证签名，
先验证签名，
再安装 APK。
从安装包中提取应用信息与开发者证书，用三条独立证据链判断文件是否来自你信任的签名者。
3种验证路径
本地完成
不上传 APK，不保存文件内容
METHOD 01
双包对比
拿可信 APK 与待检 APK 的签名证书直接比对
判定原则一致，意味着签名者相同。
一致，意味着签名者相同。
不意味着文件一定安全。
- 01先确认可信来源
官方商店、开发者官网或你亲自验证过的历史版本。
- 02优先使用 SHA-256
不要把网页上的文件哈希误当成证书哈希。
- 03签名变化要停下来
也可能是合法换签，但必须找到开发者公告或签名轮换证据。