下载安全不能只看按钮或文件名，应同时核对最终域名、版本说明、文件来源和权限用途；短链接、多次跳转及异常敏感权限需要重点复查。
展开短链接并核对最终域名
短链接会隐藏真正下载地址。打开前记录来源页面，跳转后核对最终域名是否与品牌页面、联系页和版本说明一致。
如果连续跳转多个陌生域名、网盘或临时文件地址，应暂停下载，不要仅凭页面上的“官方下载”文字判断。
版本号、更新时间和证书要相互对应
可靠下载页应说明适用系统、版本号、更新时间和文件来源。安装提示中的发布者或证书信息应能与页面说明对应。
版本日期长期不更新、文件名与页面版本不一致或证书主体无法解释，均需要重新核验来源。
逐项判断权限是否必要
相机、相册、通知等权限应与明确功能对应；通讯录、短信、无障碍服务、设备管理和后台常驻等高敏感权限需要更严格的用途说明。
安装前先拒绝非必要权限。若应用在未说明功能的情况下强制索取敏感权限，应停止安装。
下载异常时如何留证
保存来源页面、最终域名、版本号、文件名、证书提示和权限列表，不要继续运行来源不明的安装包。
如已安装并出现异常权限请求，应先断开敏感授权、卸载未知应用并修改可能暴露的账号凭据。
常见问题
短链接可以证明下载安全吗？
不能，必须展开后核对最终域名、文件来源和版本说明。
安装包版本号应该在哪里确认？
应同时查看下载页面、文件信息和安装提示，三处信息需要一致。
应用要求通讯录权限正常吗？
只有明确功能需要且页面充分说明用途时才可评估，否则应先拒绝。
发现证书主体不明怎么办？
停止安装并回到固定公开页面重新核验下载来源。
