确认下载的文件是原版

已签名和未签名的内容

• 从 v0.5.5 起，GitHub Releases 的发布都附有指纹列表 SHA256SUMS.txt 和作者对该列表的签名 SHA256SUMS.txt.sig。v0.5.6 的发布附有 7 个文件：PocketRoles-<版本>.zip（模组本体）、PocketRoles-Setup-<版本>.zip（启动器）、以 Source- 开头的 3 个 zip（BepInEx 等组件的源代码，按其许可附上，玩游戏不需要下载）、SHA256SUMS.txt（上面 5 个 zip 的指纹列表）、SHA256SUMS.txt.sig（作者对该列表的签名）。
• 发布页最下面的“Source code (zip)”“Source code (tar.gz)”是 GitHub 自动加上的。
• 签名密钥为 RSA 3072 位 / SHA-256，keyid 是 91400fdf0f5af4ca。
• 目前还没有 Windows 代码签名（Authenticode）。所以第一次打开时会出现“Windows 已保护你的电脑”（详细说明）。
• 现在的启动器在下载时不会自己核对 SHA256SUMS.txt。只有你按下面的步骤操作时才能确认。

如何核对指纹

官方指纹在以下两个地方。

• 发布页上每个文件旁边显示的 sha256: 值。页面上只显示前面一部分，请用旁边的复制按钮（两个方块重叠的图标）复制全部。请使用文件旁边的值，而不是发布说明（正文）里写的值。
• 同一发布中 SHA256SUMS.txt 里同名文件的那一行。

1. 从 GitHub Releases 的同一个发布下载 zip（用 SHA256SUMS.txt 核对时，也下载 SHA256SUMS.txt）。
2. 在开始菜单搜索“PowerShell”并打开。
3. 输入 Get-FileHash 和一个空格，把下载的 zip 拖进窗口，然后按 Enter。
4. 显示的 Hash 与文件旁边的 sha256: 值（sha256: 后面的部分），或 SHA256SUMS.txt 中同名文件那一行相同，就是和 GitHub 上公开的文件相同（大小写不同没关系）。在记事本里把两者贴成上下两行，就容易比较。

PS> Get-FileHash 把 zip 拖到这里

这样可以确认下载途中没有损坏，并且就是列表上写的文件。列表本身是否由作者发布，需要用签名确认（核对工具在 PocketRoles 源代码的 tools/sign-definitions.ps1 里）。