apache安装包下载后必须校验完整性，需从官网或可信镜像站获取安装包及配套.sha256、.asc、keys文件，依次执行sha256校验和gpg签名验证，双验证通过方可安全安装。

Apache 安装包下载后必须校验完整性，否则可能因网络传输错误、镜像同步延迟或恶意篡改导致安装失败甚至安全风险。校验不是可选项，而是必要步骤。

从可信源下载安装包

官方推荐渠道只有两个：

• 主站下载页：访问 https://www.php.cn/link/bb91b5e0c0d06915055e3f03d6bc3816，选择对应操作系统的二进制包（Windows 用 .msi 或 .zip，Linux 用 .tar.gz）；
• 镜像站点：如清华源 https://www.php.cn/link/dbd9bdc38e07d1fb42cd408fa8254779，速度更快但需严格比对校验值。

避免使用第三方打包站、网盘链接或论坛附件——这些来源不提供签名，无法验证来源可信性。

下载配套校验文件

每个发布版本旁必有三类校验文件，务必一并下载：

Apache Superset Dashboard and SQL Exploration Skill

Apache Superset 是一个广泛采用的开源 BI 平台，用于 SQL 探索、图表构建和仪表板交付。当代理需要查询仓库数据、组装仪表板或使用成熟的分析界面解释指标而不是临时笔记本代码时，此技能非常有用。

下载

• .sha256 或 .sha512 文件：含 SHA-256 散列值，用于完整性校验；
• .asc 文件：GPG 数字签名文件，用于验证发布者身份（Apache 发布密钥由 dev@httpd.apache.org 签发）；
• KEYS 文件：Apache HTTP Server 项目公钥列表，用于导入 GPG 密钥环。

例如下载 httpd-2.4.59.tar.gz，就应同时获取：
httpd-2.4.59.tar.gz.sha256、httpd-2.4.59.tar.gz.asc、KEYS

执行本地校验

分两步验证，缺一不可：

1. 校验和比对：
   Windows（PowerShell）：
   Get-FileHash httpd-2.4.59.tar.gz -Algorithm SHA256 | Format-List
   Linux/macOS：
   sha256sum httpd-2.4.59.tar.gz
   输出结果与 .sha256 文件中对应行完全一致才算通过。
2. GPG 签名验证：
   先导入公钥：
   gpg --import KEYS
   再验证签名：
   gpg --verify httpd-2.4.59.tar.gz.asc httpd-2.4.59.tar.gz
   成功时显示 Good signature from "Apache HTTP Server Project <dev>"</dev>，且状态为 primary key fingerprint 匹配官网公布的指纹。

常见失败原因与应对

校验失败不等于下载出错，多数情况可快速定位：

• SHA 值不匹配 → 检查是否下载了同名但不同版本的包（如误下 beta 版），或文件损坏，重新下载；
• GPG 验证失败提示 key not found → 说明未正确导入 KEY 或导入的是过期密钥，需重新下载最新 KEYS 并确认指纹；
• 提示 WARNING: This key is not certified with a trusted signature! → 属正常现象，Apache 不要求 Web of Trust，只要指纹匹配、签名有效即可信任。

校验通过后，再解压、配置、安装，才真正安全可靠。