识别不安全的软件，不能只看名称、下载量或一次杀毒结果。更可靠的方法是按顺序检查下载来源、发布者身份、权限需求、数字签名、扫描结果和安装后的行为。如果来源无法确认、权限明显超出功能需要，或安装后出现异常弹窗、强制提权等现象，应先停止安装或运行，再处理。单项检查只能降低风险，不能证明软件绝对安全。

如何先判断软件的下载来源是否值得信任？

先不要急着打开安装包。来源检查通过后，后面的文件检查才有意义。

1. 优先寻找官方渠道。桌面软件应从开发者官网、操作系统应用商店或可信的软件包管理器获取；手机应用优先使用官方应用商店。搜索结果中的广告下载按钮、论坛附件、破解包、所谓“高速下载器”和捆绑安装器，都不应作为首选。
2. 核对网站和发布者。查看域名拼写、开发者名称、软件全称、版本号、更新日期和隐私政策。仿冒页面常使用相近名称，或用“最新版”“免费激活版”吸引下载。页面没有明确发布者、联系方式和更新记录时，不要仅因页面看起来专业就信任它。
3. 比较文件信息。下载文件的名称、大小、版本和扩展名，应与官方说明基本一致。若同一个软件被改成多个安装器，或下载后自动跳转到其他程序，先删除文件并重新从可信来源获取。
4. 有校验值时再进行比对。如果开发者提供 SHA-256 等哈希值，可计算本地文件的哈希并比较。两者一致，说明文件内容未发生变化；不一致则不要继续安装。哈希一致只代表文件与发布者提供的版本相同，不代表开发者本身或软件功能一定安全。

当下载地址、发布者、版本信息彼此一致，且没有明显捆绑和跳转，来源风险会降低；只要其中一项无法解释，就把判断结果暂定为“无法确认”，不要用其他好评来抵消这个问题。

确认来源后，怎样继续检查软件本身是否安全？

来源正常并不等于软件没有风险。接下来检查它要做什么、能访问什么，以及系统是否能确认它来自谁。

检查权限是否符合软件功能

把软件的核心功能写成一句话，再对照它要求的权限。例如，计算器通常不需要读取短信和通讯录，图片查看器通常不需要持续定位，普通工具若要求开机自启、后台常驻、管理员权限或浏览器扩展，就需要进一步确认理由。

• 功能简单，却要求通讯录、短信、通话记录、麦克风或无障碍控制权限，属于需要重点核查的组合。
• 桌面软件要求关闭杀毒软件、修改浏览器首页、安装不明证书或长期以管理员身份运行时，不要直接同意。
• 权限本身不等于恶意证据。有些备份、远程协助和安全管理工具确实需要较高权限，但发布者应能说明用途。

如果权限与功能不匹配，先拒绝非必要权限，并查看软件是否还能完成基本功能。拒绝后功能正常，说明这些权限并非核心需要；拒绝后程序强制退出或反复索取权限，应暂停使用。

查看签名、声誉和安全扫描结果

在 Windows 中，可打开文件属性查看数字签名和签名者；在 macOS 中，关注系统对开发者身份、来源和应用完整性的提示；在手机上，查看应用详情中的开发者、权限、版本和数据安全说明。签名能帮助确认文件由哪个发布者签署，但不能保证软件没有隐私或功能风险。

再使用系统自带的安全工具和可信杀毒软件进行扫描，确保病毒库处于更新状态。扫描结果应结合来源和行为一起判断：

• 扫描发现恶意程序、木马、勒索软件或风险组件：不要运行，隔离或删除文件，并重新从官方渠道获取。
• 扫描没有发现问题：只能说明当前工具未识别出已知威胁，不能替代权限、签名和行为检查。
• 不同工具给出冲突结果：先查看检测名称、文件来源和误报说明，不要为了安装而随意关闭安全软件。

如果需要把文件提交给在线分析服务，涉及工作资料、个人证件、源码或客户文件时不要直接上传。可优先使用本地扫描，或先询问组织的信息安全人员。

这些检查都通过后，安装时还要观察什么？

确认来源和文件没有明显问题后，再进行受控安装。重要软件或来源较新的软件，最好先在测试设备、虚拟机或非关键账户中运行；同时保存必要文件，避免把未经确认的程序直接放到存有敏感资料的设备上。

1. 选择自定义安装。逐项查看附加软件、浏览器扩展、开机启动和默认浏览器设置。取消不需要的选项，不要连续点击“下一步”跳过说明。
2. 观察系统提示。软件请求管理员权限时，先看提示中的发布者和文件路径。发布者显示为未知、路径位于临时目录，或程序要求先关闭安全防护，均应暂停。
3. 只授予必要权限。安装完成后，到系统设置中关闭不需要的定位、通讯录、麦克风、相机、后台活动和自动启动权限。
4. 完成后做一次验证。确认只安装了预期程序，浏览器首页和搜索引擎没有被修改，桌面没有多出陌生快捷方式，系统安全功能也没有被关闭。

如果安装过程中出现强制弹窗、反复跳转、无法关闭的广告、未知证书、异常管理员请求或安全软件被自动停用，应立即取消安装。取消后重新扫描安装文件；若文件已运行过，再检查启动项、浏览器扩展和已授予的系统权限。

软件已经安装，如何判断它是否正在造成风险？

已经安装的软件不能只凭“能正常打开”来判断。使用一段时间后，重点观察它的实际行为，并把异常与最近安装的软件对应起来。

• 频繁弹出与功能无关的广告，或把网页重定向到陌生站点。
• 后台持续占用大量处理器、内存、网络流量或电量，且没有更新、同步等合理原因。
• 未经同意新增启动项、浏览器扩展、系统服务或设备管理权限。
• 文件被改名、加密、删除，安全软件和系统更新被关闭。
• 账号出现异常登录、短信被读取或联系人收到非本人发送的内容。

出现单次卡顿或资源升高不一定代表恶意行为，更新、索引和首次扫描也可能暂时占用资源。可先关闭软件，查看任务管理器或系统活动监视器中的进程名称、文件位置和网络活动，再重新扫描。若异常只在该软件运行时出现，且无法由正常功能解释，停止使用比继续观察更稳妥。

发现不安全或无法确认的软件后，应该怎样处理？

如果软件尚未运行，直接删除安装包并清空回收站，再使用安全工具扫描下载目录。如果已经运行但没有明显异常，先备份必要的个人文件，不要备份可执行文件、脚本和陌生插件，然后按系统正常卸载流程移除软件。

卸载后继续完成三项检查：一是删除对应的浏览器扩展和桌面快捷方式；二是撤销管理员、无障碍、设备管理、定位和后台运行等权限；三是重启设备并再次进行完整扫描。检查启动项、已安装程序列表和浏览器设置，确认没有陌生项目自动恢复。

如果软件运行期间输入过网银、邮箱或重要账号密码，应使用另一台确认安全的设备修改密码，并开启多因素认证。若出现文件加密、持续弹窗、账号异常或安全工具无法启动，先断开网络以避免继续扩散，不要反复打开可疑文件，必要时联系专业技术人员处理。

最终可以按三种结果判断：来源、权限、签名、扫描和行为都合理时，可视为相对低风险；有一项明显冲突时，应视为高风险或不适合继续使用；信息不足、无法核对发布者或扫描结果互相矛盾时，应归为无法确认。在无法确认的情况下，不安装、不登录敏感账号，就是最直接的防护动作。