别人给你的安装包可能被替换或捆绑。算出来的哈希只要和上面差一个字符，就说明文件不是原始的，直接删掉。
Windows 自带（推荐）：文件所在文件夹按住 Shift 右键 →「在此处打开 PowerShell 窗口」：
Get-FileHash .\你的文件名.exe -Algorithm SHA256
CMD 老办法：
certutil -hashfile 你的文件名.exe SHA256
数字签名（比哈希更硬，能看出文件是谁发的）：
Get-AuthenticodeSignature .\你的文件名.exe | Format-List Status, SignerCertificate
状态必须是 Valid，签名者必须和上面写的一致。显示 NotSigned 或 HashMismatch，说明包被动过。不想敲命令就右键文件 → 属性 →「数字签名」标签页。