最直接的办法是校验.exe安装包的数字签名以确认其官方来源和完整性：可通过文件属性中的“数字签名”选项卡查看状态，用PowerShell命令Get-AuthenticodeSignature批量验证，或用Sigcheck工具深度检测证书链与时间戳。

当你下载了一个.exe安装包，又不确定它是否被篡改或来源是否可信，最直接的办法就是立刻校验它的数字签名——这一步能确认文件是否由官方签发、内容是否完整未被修改。

通过文件属性查看签名状态（最常用）

该方法适用于所有标准Windows可执行文件（.exe、.dll、.msi等），无需安装额外工具，系统自带功能即可完成基础验证。

1、在文件资源管理器中找到目标程序，例如 ChromeSetup.exe 或 WeChat.exe。

2、鼠标右键点击该文件 → 选择“属性”。

3、切换到“数字签名”选项卡：若该选项卡不存在，说明此文件【完全未签名】，需高度警惕。

4、选中签名条目后，点击“详细信息”按钮 → 在新窗口中重点查看“签名状态”字段：显示“此数字签名正常”才表示有效；若为“该数字签名不正常”或“证书已被吊销”，则文件存在风险，不应运行。

5、点击“查看证书” → 核对“颁发者”是否为可信CA（如 DigiCert、Sectigo、GlobalSign 或 锐安信sslTrus），“有效期”是否覆盖当前日期（2026年7月23日）。

用PowerShell批量验证（适合技术人员）

当你需要一次性检查多个启动项、驱动或部署包时，PowerShell命令比手动点开属性高效得多，且结果明确可读。

方法一：单文件快速验证

以管理员身份运行 PowerShell → 执行以下命令（将路径替换为你自己的文件）：

Get-AuthenticodeSignature -FilePath "C:\Program Files\Zoom\bin\Zoom.exe"

观察返回的 Status 字段：Valid 表示签名有效；NotSigned 表示无签名；Revoked 表示证书已被吊销，必须立即停止使用。

方法二：批量扫描指定目录下所有.exe文件

运行以下命令，自动过滤出签名异常的文件：

Get-ChildItem "C:\Temp\Apps\" -Recurse -Include "*.exe" | ForEach-Object { $sig = Get-AuthenticodeSignature $_.FullName; if ($sig.Status -ne "Valid") { Write-Host "$($_.Name) → $($sig.Status)" -ForegroundColor Red } }

这条命令会跳过所有签名正常的文件，只输出问题项，节省大量人工筛查时间。

用Sigcheck工具深度检测（排查疑难签名问题）

当系统提示“签名无效”但你怀疑是时间戳或交叉签名导致误判时，Sigcheck能提供比系统属性更底层的签名结构信息，包括时间戳服务器响应、证书链完整性、是否启用双哈希（SHA1+SHA256）等。

第一步：下载并解压 Sigcheck64.exe（微软Sysinternals官方工具，免安装）。

第二步：以管理员身份打开命令提示符 → 进入Sigcheck所在目录 → 执行：

Sigcheck64.exe -i -u "C:\Windows\System32\drivers\acpi.sys"

-i 参数显示证书详细信息，-u 强制在线验证证书吊销状态（OCSP/CRL）。若输出中出现 Timestamp: None 或 Chain verification failed，说明签名虽存在但不可信，不能作为安全依据。

第三步：重点关注 “Verified:” 行 —— 只有显示 Unsigned、Invalid 或 Expired 才真正代表签名失败；显示 True 并附带可信颁发者名称，才是可信任的签名。