验证正版

适用于 Android 1.0.0 及之后的版本

签名指纹，就是安装包上一枚只有我们能盖的「电子印章」的编号。你手里的安装包盖的印章和下面一致，就说明它出自我们之手、没被人改过。镜像只是副本，认签名不认网址。

官方指纹

Android 安装包签名证书（SHA-256）02:AE:DC:63:FB:B7:79:3C:BA:5A:31:36:23:54:87:10:AA:E9:4A:C6:E7:8C:D3:AF:CA:D3:9B:16:6F:A5:70:06

同一指纹（不带冒号，小写）02aedc63fbb7793cba5a313623548710aae94ac6e78cd3afcad39b166fa57006

更新配置单签名公钥（Ed25519，32 字节）8c071da92b2b8fb9f4c373384a5cc4be531035ea20df3a64ce7a08a9c0ae1cec

普通用户：只从下面的入口下载，不要用别人转来的来路不明的链接。

懂技术的用户：用 Android SDK 自带的 apksigner 查看签名，输出里的 SHA-256 digest 应与上面的指纹一致：

apksigner verify --print-certs chencang-1.0.0.apk

每个 GitHub Release 也列出了安装包的 SHA-256，可以逐字节核对镜像下载的文件。

App 会读取一份公开的配置单（里面没有任何个人或设备信息），列出下载镜像和最新版本。配置单带有我们的签名，App 内置了上面那把公钥，每次都会自动验签；验不过的配置单直接丢弃，你不需要做任何操作。