下載了git，安裝的安全性怎么樣？

Question

下載 Git-2.28.0-64-bit**.exe**。 我習慣於在安裝之前檢查下載的一些哈希和。 據我了解，這將降低偽造 URL 和一些中間人攻擊的風險。

但是我找不到 .exe 的 SHA512 或類似值。 我可以簡單地相信 git 下載嗎？

Answer 1

這是之前要求的（為了 Github 在其發布資產旁邊提供 sha256 校驗和），但這尚不可用。

一些項目正在添加一個表示校驗和的附加資產，如coreybutler/nvm-windows發布標簽 1.1.7

Windows 版本的 Git 為其所有版本添加了一個 SHA-256 表：

Git-2.28.0-32-bit.exe   9b83b16f1d73212492f21d9bffe41c4b5ce8393a356af96bf8271652c04dfe8f

因此，您可以通過這種方式控制下載的工件的完整性。

而且，正如這里提到的，那些 exe 也被簽名，這意味着您可以使用SignTools.exe來檢查該簽名。