梯子的软件部分先核验：三个来源、两步核验、三类不装

梯子推荐讨论的多是线路，但真正出安全问题的往往是软件部分。主流客户端都是开源项目，代码可审计，软件本身出问题的概率很低；风险在于你拿到的不是原版。

只信三个来源

1. 项目的 GitHub Releases。Clash Verge Rev、sing-box、v2rayN 都在这里发布，地址是 github.com 下项目自己的仓库。
2. 项目官网。确认域名是项目自己的，不是搜索结果里的「XX 官网」下载站。
3. 官方应用商店。iOS 的 App Store、Android 的 Google Play，认准开发者名称。

其他任何地方给的安装包，一律不用。

下载后两步核验

1. 看发布者：Releases 页面的发布账号是不是项目官方组织；应用商店里的开发者是不是项目方。
2. 对哈希：Releases 页面通常附每个文件的 SHA256。下载后本机算一次，对不上就删掉重下。Windows 用 certutil -hashfile 文件名 SHA256，macOS 和 Linux 用 shasum -a 256 文件名。

三类无论如何不装

• 免费节点附带的「专用客户端」：免费节点本身无法追责，它附带的软件更没理由信。
• 群里、网盘里传的安装包：传的人未必知道这个包经过了谁的手。
• 下载站的「加速版」「绿色版」「破解版」：开源软件没有破解的必要，多出来的东西只可能是加进去的。

软件核验完，再看线路

软件装好是空壳，还要一份订阅。订阅怎么选见三项判据。本站推荐榜按合作关系排序并已披露，第一位是跨界云，它的自研客户端在官网发布，属于可以装的那一类；通用订阅也能贴进上面任何一个开源客户端。价格以官网为准。

❓ 常见问题解答 (FAQ)

杀毒软件报毒是不是有问题？ ▼

代理软件因为要接管网络流量，常被误报。判断依据是下载来源对不对、哈希对不对，不是报不报毒。

机场提供的客户端能装吗？ ▼

它自己开发、在官网或应用商店发布的自研客户端可以；群里传的安装包和免费节点附带的「专用客户端」不装。

搜索结果第一条的「官网」能信吗？ ▼

不一定，一半是第三方下载站。看地址栏域名是不是项目自己的，或者直接去 GitHub 找项目主页。