最直接的办法是校验.exe安装包的数字签名以确认其官方来源和完整性：可通过文件属性中的“数字签名”选项卡查看状态，用powershell命令get-authenticodesignature批量验证，或用sigcheck工具深度检测证书链与时间戳。
当你下载了一个.exe安装包，又不确定它是否被篡改或来源是否可信，最直接的办法就是立刻校验它的数字签名——这一步能确认文件是否由官方签发、内容是否完整未被修改。
通过文件属性查看签名状态（最常用）
该方法适用于所有标准Windows可执行文件（.exe、.dll、.msi等），无需安装额外工具，系统自带功能即可完成基础验证。
1、在文件资源管理器中找到目标程序，例如 ChromeSetup.exe 或 WeChat.exe。
2、鼠标右键点击该文件 → 选择“属性”。
3、切换到“数字签名”选项卡：若该选项卡不存在，说明此文件【完全未签名】，需高度警惕。
4、选中签名条目后，点击“详细信息”按钮 → 在新窗口中重点查看“签名状态”字段：显示“此数字签名正常”才表示有效；若为“该数字签名不正常”或“证书已被吊销”，则文件存在风险，不应运行。
5、点击“查看证书” → 核对“颁发者”是否为可信CA（如 DigiCert、Sectigo、GlobalSign 或 锐安信sslTrus），“有效期”是否覆盖当前日期（2026年7月23日）。
用PowerShell批量验证（适合技术人员）
当你需要一次性检查多个启动项、驱动或部署包时，PowerShell命令比手动点开属性高效得多，且结果明确可读。
方法一：单文件快速验证
以管理员身份运行 PowerShell → 执行以下命令（将路径替换为你自己的文件）：
Get-AuthenticodeSignature -FilePath "C:\Program Files\Zoom\bin\Zoom.exe"
观察返回的 Status 字段：Valid 表示签名有效；NotSigned 表示无签名；Revoked 表示证书已被吊销，必须立即停止使用。
方法二：批量扫描指定目录下所有.exe文件
运行以下命令，自动过滤出签名异常的文件：
Get-ChildItem "C:\Temp\Apps\" -Recurse -Include "*.exe" | ForEach-Object { $sig = Get-AuthenticodeSignature $_.FullName; if ($sig.Status -ne "Valid") { Write-Host "$($_.Name) → $($sig.Status)" -ForegroundColor Red } }
这条命令会跳过所有签名正常的文件，只输出问题项，节省大量人工筛查时间。
用Sigcheck工具深度检测（排查疑难签名问题）
当系统提示“签名无效”但你怀疑是时间戳或交叉签名导致误判时，Sigcheck能提供比系统属性更底层的签名结构信息，包括时间戳服务器响应、证书链完整性、是否启用双哈希（SHA1+SHA256）等。
第一步：下载并解压 Sigcheck64.exe（微软Sysinternals官方工具，免安装）。
第二步：以管理员身份打开命令提示符 → 进入Sigcheck所在目录 → 执行：
Sigcheck64.exe -i -u "C:\Windows\System32\drivers\acpi.sys"
-i 参数显示证书详细信息，-u 强制在线验证证书吊销状态（OCSP/CRL）。若输出中出现 Timestamp: None 或 Chain verification failed，说明签名虽存在但不可信，不能作为安全依据。
第三步：重点关注 “Verified:” 行 —— 只有显示 Unsigned、Invalid 或 Expired 才真正代表签名失败；显示 True 并附带可信颁发者名称，才是可信任的签名。
