近两年来，随着搜索引擎竞价广告被黑产利用，出现了大量假冒 Clash 官网的钓鱼网站（如 fake-clash-win.com）。许多新手不幸下载了打包后门的恶性安装包，导致浏览器 Passwords、Telegram Session 及数字货币钱包被盗。本文将手把手教您如何鉴别安全正版客户端。

一、 揭露钓鱼网站的三大常见套路

  1. 搜索引擎广告位占坑： 在 Google / 百度搜索“Clash 下载”时，前几个带“广告/Sponsor”标识的网站 90% 为假冒钓鱼站。
  2. 域名极具误导性： 使用形似官方的域名（如 clashverge.org、clashforwindows.net 等）。
  3. 静默打包木马后门： 将正版客户端重新打包，捆绑了远控木马（Trojan.Agent）或脚本注入器。

二、 如何确保下载到 100% 正版软件？

唯一的权威源是开发者在 GitHub 托管的官方开源仓库 Releases 页面：

  • Clash Verge Rev 官方仓库： github.com/clash-verge-rev/clash-verge-rev
  • Mihomo Party 官方仓库： github.com/mihomo-party-org/mihomo-party
  • FlClash 官方仓库： github.com/chen08209/FlClash

三、 本地 SHA256 哈希值校验校验教程

下载完成文件后，可在 Windows PowerShell 中运行以下代码，核对计算出的 SHA256 哈希值与 GitHub Release 标注的 Hash 是否 100% 一致：

# PowerShell SHA256 校验指令
Get-FileHash -Path "C:\Downloads\Clash.Verge_1.7.3_x64_zh-CN.exe" -Algorithm SHA256

防骗口诀： 不认搜索广告位，认准 GitHub 官方源；哈希校验走一遍，账号安全保平安！