最可靠方式是直接验证下载文件的数字签名。Windows 自带 Authenticode 验证，可通过文件属性“数字签名”选项卡查看状态，PowerShell 的 Get-AuthenticodeSignature 命令支持批量检查，深入验证需确认证书有效期、增强型密钥用法及证书路径可信性，专业分析可使用 SigCheck 或 signtool 工具。
直接验证下载文件的数字签名，是判断它是否来自官方、未被篡改最可靠的方式。windows 系统自带机制已深度集成 authenticode 验证逻辑，无需安装额外软件就能完成核心判断。
通过文件属性快速查看签名状态
这是普通用户最常用、也最直观的方法，适用于 .exe、.msi、.dll、.sys、.cab 等可执行或驱动类文件：
- 在文件资源管理器中右键点击目标文件，选择“属性”
- 切换到“数字签名”选项卡——若该选项卡不存在，说明文件未签名
- 列表中显示签名条目，选中后点击“详细信息”
- 重点看“签名状态”：显示“此数字签名正常”才表示签名有效、内容完整
- 若显示“该数字签名不正常”“证书已被吊销”或“证书已过期”，则不应运行该文件
用 PowerShell 批量验证与脚本化检查
适合需要一次验证多个文件，或想把验证步骤写入自动化流程的用户：
- 打开 PowerShell（无需管理员权限）
- 执行命令：Get-AuthenticodeSignature "C:\path\to\file.exe"
- 关注返回字段：Status（Valid/NotSigned/UnknownError）、SignerCertificate.Subject（签名者名称）、TimeStamperCertificate（时间戳是否存在）
- 可配合 Where-Object 过滤，例如只列出无效签名：Get-ChildItem *.exe | Get-AuthenticodeSignature | Where-Object {$_.Status -ne 'Valid'}
深入验证证书链与用途合规性
仅看“签名正常”还不够，尤其对驱动或系统级组件，需确认证书本身是否被系统信任、用途是否匹配：
- 在“数字签名详细信息”窗口中点击“查看证书”
- 切换到“常规”页，确认“有效期至”包含当前日期（2026年6月6日）
- 切换到“详细信息”页，查找“增强型密钥用法”（Enhanced Key Usage），驱动类文件必须含“Kernel Mode Code Signing”或 OID 1.3.6.1.4.1.311.10.3.6
- 切换到“证书路径”页，确保路径完整且每层状态为“此证书正确到根证书”
使用 SigCheck 或 SignTool 做专业级分析
面向开发者、安全人员或排查疑难问题时，命令行工具能暴露更底层信息：
- SigCheck -i file.exe（来自 Sysinternals）可显示签名哈希、证书指纹、嵌入时间戳及是否启用 PnP 安装策略
- signtool verify /v /pa file.sys（需 Windows SDK）会严格校验内核模式签名要求，并提示证书是否在“受信任的发布者”存储中
- 若输出含 “Signer certificate is not in the trusted people store”，说明虽有签名，但签发机构未被 Windows 默认信任
