软件有数字签名就能放心安装吗
同事发来一个安装包，说是供应商刚更新的版本。文件图标没变，名称也对，属性里还能看到数字签名。这时，能直接安装吗？
数字签名是一项重要的核对依据，但不能单独作为安全结论。它主要帮助验证签署身份，以及签名所覆盖的内容是否在签署后发生变化，不能证明软件没有漏洞或恶意功能。
下载前先确认来源；下载后、运行前再核对发布者、签名状态和系统提示。下面以 Windows 软件安装包为例，说明这些检查各自能回答什么问题。
先确认下载入口 别只认软件名称搜索结果里的名称、下载按钮和软件图标，都不足以证明页面由原厂运营。进入下载页时，应核对域名是否与软件厂商公布的信息一致，是否经过陌生站点跳转，以及取得的是完整安装包还是另一个下载器。
对于工作中使用的软件，优先从企业批准的软件分发入口、厂商明确公布的渠道或约定的供应商交付地址获取。如果安装包通过邮件或聊天工具转发，可以先到已知的官方渠道核对版本，必要时联系原有业务联系人确认。
网页使用 HTTPS，说明连接具备相应的传输保护，不能据此认定网站一定属于预期厂商，更不能推断下载的软件已经接受安全审查。
这些检查放在下载前完成，能减少后面面对一个来源不明文件时反复猜测的情况。
下载以后 核对签名里的发布者是谁对于支持相应签名机制的 Windows 文件，可以在文件属性中查看数字签名信息，进入签名详细信息，核对签名者名称及验证结果。具体显示方式可能随文件格式和系统版本不同而变化。
这里有两个不同的问题：文件是否带有签名，以及签名中的主体是否与预期发布者对应。只看到企业名称，却没有核对是谁，也可能选错文件。
软件品牌名和企业法定名称有时不同。遇到不熟悉的签名主体，可以查厂商公布的说明或向已知官方联系方式确认，不能仅因为名称不完全相同就断定是假软件，也不能把相似名称当作足够的证明。
如果没有找到数字签名标签，也不要为了完成安装而导入陌生证书或运行别人提供的修复脚本。可以先向厂商确认该文件采用什么签名方式，以及如何验证。
有签名记录 还要看验证是否通过文件带有数字签名，不代表当前系统已经验证通过。检查时应关注签名状态，而不是仅确认列表中出现了一条记录。
例如，签名覆盖内容被修改，可能导致完整性验证失败；信任链、系统环境或证书状态等问题，也可能影响验证。遇到异常，普通使用者不必自行猜测原因，应暂停运行，记录提示，并从已知可信渠道重新取得文件或联系技术支持。
有技术背景的 Windows 用户也可以通过 PowerShell 的 Get-AuthenticodeSignature 查询 Authenticode 签名信息。微软文档说明该命令适用于 Windows；查询结果用于了解签名，不是病毒检测报告。
即使签名验证通过，也只说明相应验证条件得到满足。假如漏洞或恶意逻辑在签名前已经存在，签名本身不会将它们清除。
遇到安装警告 先看清楚系统在提示什么“未知发布者”“无法识别的应用”和安全软件检出的威胁，不应被当作同一种情况处理。它们可能涉及身份识别、文件信誉或行为检测等不同判断。
微软的 SmartScreen 文档说明，已签名的新程序仍可能因为信誉信息不足而出现警告。当前 EV 代码签名证书也不再默认获得即时 SmartScreen 信誉，因此不能把有 EV 签名理解为一定不会弹出提示。
但出现信誉提示，也不代表可以忽略其他检查。对工作电脑而言，应按企业的软件安装规定联系 IT；对个人设备，应先确认来源、发布者和厂商说明。不要因为下载页写着“已签名”，就按其要求关闭系统防护。
同样，没有出现警告也不是安全保证。保持系统和安全软件更新，扫描下载文件，仍然有必要。
安装时的要求 是否符合软件用途检查并没有在点击安装按钮时结束。安装器要求什么权限，是否额外下载组件，是否附带不需要的软件，都值得留意。
某些软件确实需要管理员权限，但权限请求应与用途和厂商说明相符。来源不明的工具若要求关闭防护、提交账户密码，或者安装与功能无关的组件，不应因为签名正常就继续操作。
安装包的签名，也不能自动替后续下载的每个插件、脚本或更新文件作保证。企业接收业务软件时，可以要求供应商说明后续更新来源和验证方式，避免只检查首次交付。
如果厂商提供文件校验值，可以从已确认的官方渠道取得后比对。与安装包一起出现在同一个不明页面上的校验值，不能独立证明来源可信。
对软件厂商来说 要让用户有信息可核对用户在安装前需要确认的内容，也给软件发布者提供了一份交付参考：下载渠道应清楚，版本说明应可查，签名身份应便于解释，异常提示应有处理入口。
采用可信代码签名证书，可以为软件提供可验证的发布者身份和完整性依据。例如 GlobalSign 的代码签名证书用于支持相关文件的签名验证，但证书不代替厂商的安全测试，也不能保证每台设备都允许安装。
GlobalSign 官网文章进一步讨论了代码签名的保护范围、时间戳和平台判断之间的区别。需要了解技术机制的读者，可以查看文末延伸阅读，而不必把一个“签名有效”的提示当成软件安全的全部答案。
对下载者来说，最实用的做法是把检查分开放到对应环节：取得文件之前确认来源，运行之前核对身份和签名，安装过程中留意权限与额外组件。遇到不一致的信息，先确认，再决定是否继续。
常见问题没有数字签名的软件一定有病毒吗
不能这样判断。未签名不等于已经检出恶意代码，但会缺少相应的发布者与完整性验证依据。是否使用还需结合来源、用途和企业策略判断。
有效数字签名可以代替病毒扫描吗
不可以。签名验证与恶意软件检测回答的问题不同，两者不能相互替代。
证书到期 就说明安装包被篡改了吗
不是。证书期限与内容是否被修改是不同问题。时间戳、信任状态及平台规则也会影响后续验证，不能仅凭日期认定篡改。
延伸阅读GlobalSign 软件签名后就安全吗 代码签名能解决哪些问题 又有哪些边界
微软 SmartScreen 应用信誉说明
微软 Get-AuthenticodeSignature 使用说明
