速球是官方的吗：先看结论。

别绕弯，先回答这句

先给结论：这个问题没有一句「是」就能打住的答案——只有在官方渠道获取、并且你能当场核对上两三项信息时，才可以按官方版本使用；核对不上，或者安装包来自转发链接、网盘、第三方下载站，就不要装。下面会把三条能当场打开核对的依据摆出来：证书主体、安装包签名、下载来源，每一条都写清看哪里、对上什么才算数。

搜这个问题的人，多半是在某条链接或某个群里拿到安装包之后，才想起来核对。最常见的三种做法，恰恰都绕开了核对本身：

• 把搜索结果的第一条当官方入口。推广位和自然结果长得几乎一样，只看标题里有没有那几个字，不看落下来的页面是谁的、页面里写的获取方式是什么。
• 拿到转发包就装，装完只看图标和名字。图标可以照抄，名字可以换掉一个字母，这两项对上什么都说明不了，反而最容易让人放下戒心。
• 在商店里搜到名字相近的就认。商店页与独立下载页对同一条信息说法不一致时，问题往往就出在这一步——两边对不上，说明至少有一边不是你该走的入口。

对照下来，正确的答法只有一条：不看名字，看凭据。下面三项，每一项都能在手机上当场打开核对，对不上就不要往下走。

别凭感觉，看这几项

一、证书主体是否与公示一致

看哪里：安装时系统弹出的应用信息、装完之后「设置—应用—应用信息—证书/签名详情」，或者安装包的属性页。这一步不需要任何额外工具，系统自带的信息页就能看到。

对上什么才算：证书主体名称要与官方公示页上写明的主体名称逐字一致，中间不能多一个后缀、不能是个人开发者名、不能显示为空白或「未知」。不少仿冒包能过第一眼，恰恰是在这里露出来——名字抄得像，证书主体却是另一家，甚至是自签名。若主体名称只显示一串无意义的字符，或者显示的与你手上这个安装包的来路完全对不上，直接按未通过处理。

二、安装包签名能否打开查看

看哪里：应用信息页里的证书详情，点进去应当能看到签发者、有效期与指纹（常见为 SHA-256）。

对上什么才算：能点开、能看到完整指纹，并且指纹与官方公示页公开的那一串完全一致。只能看到「已签名」三个字、点不进详情、或者指纹位数不完整的，一律按没核对处理。指纹是可以逐位对照的，对不上就是对不上，不存在「差不多」。

顺带把版本号也对一遍：关于页显示的版本（例如 v5.0.4）要与公示页当前对外发布的版本一致，安装包文件名的写法也要相同。版本明显偏低、文件名多出「修改」「加速」一类后缀，又要求你先做账户操作的，先停下来，回到公示页重新确认。版本号是最好对的一项，也是最容易被忽略的一项。

三、下载来源是不是官方入口

看哪里：下载页是从哪儿跳转过来的，以及官方帮助中心里写明的获取方式。

对上什么才算：入口来自官方公示页或帮助中心里明示的那一条，而不是聊天记录、二维码、短链、网盘分享。核对办法很朴素：从官方页面自己走一遍，看落点是否与手里的链接一致；不一致就以官方页面为准，别去猜哪个「也能用」。另外，商店页与独立下载页对同一条信息（版本号、主体名称）的说法应当一致，任何一边对不上，都说明这条路径需要重新走一遍。

认准入口再动手

三项核对完之后，路径其实很短，按顺序走一遍即可：

1. 先打开官方帮助中心或公示页，记下当前对外发布的版本号写法和主体名称。
2. 从该页面上给出的入口进入下载页，不要从转发链接、二维码直接跳转过去。
3. 安装完成后先不要登录，进「设置—应用—应用信息」，把签名指纹与版本号跟第 1 步记录的内容逐项对照。
4. 全部对上再登录；只要有一项对不上，卸载，回到第 1 步重来。

这也是「速球是官方的吗」最省事的答法：不靠感觉，靠这四步里能看见、能逐位对照的东西。核对成本只有几分钟，省下的却是后面一连串说不清的麻烦。

近邻还会卡的点

商店页和独立下载页信息不一致听谁的？

以官方公示页或帮助中心里明示的那一条为准。两边版本号或主体名称对不上时，不要挑「看起来更新」的那个，而是回到公示页重新走一遍入口，并以此前记下的版本号写法作为对照基准。

证书无效还能继续用吗？

不要继续用。证书无效意味着签名链断了，你无法通过指纹判断这个包是谁打的，前面三项核对就全部落空。处理办法是卸载，回官方入口重新获取，再按第二条依据重新看一遍签名详情。

第一次打开就索要通讯录正常吗？

权限请求要跟当前操作对得上。刚打开、还没做任何操作就连续索要通讯录、短信一类与当前步骤无关的权限，先拒绝，再去核对证书主体与下载来源；核对不上的，直接卸载，不要在这个状态下做账户操作。

帮助中心里对不上号怎么办？

先确认你看的是不是同一个入口的帮助中心。把页面里写的主体名称、版本号写法抄下来，与自己安装包里显示的内容逐项对比；仍对不上，就不要再找「另一份说明」，而是从官方公示页重新进入，按第一条依据重新看证书主体。

装完先核版本再登录吗？

是。安装完成后停在登录页，先去应用信息里看版本号与签名指纹，与公示页记录的内容对上，再回来登录。顺序反过来，等于把最该核对的一步放在了已经完成账户操作之后。

最后只记这两点

第一，官方渠道怎么认：看证书主体是否与公示逐字一致、签名指纹能否点开并逐位对上、入口是否来自官方公示页。第二，来路不明的包不要装，名字和图标说明不了任何问题。

三项核对全部通过再从官方入口获取并登录；任何一项对不上，卸载重来，这才是这个问题该有的处理方式。