校验下载与安装包
根据发行页摘要与包清单，核对下载和解包内容。
概览
下载平台对应归档及同名 .sha256 文件，用系统 SHA-256 工具核对发行页公布的摘要。解包后对整个目录执行 secretbridge verify-package；退出码非零时停止安装。
边界与检查
摘要可检测传输或文件内容变化，同时还应核对下载来源和发布账号。不要仅复制可执行文件或混用不同版本的 Web 资源。
下载前确认
只从产品仓库发行页选择与你的系统、架构匹配的完整 ZIP 或 tar.gz，连同同名 .sha256 获取。发行页和所选版本说明决定当前支持范围；网站上的发行快照可能滞后。不要混用两个版本的程序和 Web 资源。
分两层核验
- 用系统 SHA-256 工具计算下载归档摘要，核对同版本发行页和摘要文件中的值。若不一致，停止并重新获取。
- 解压整个归档，保留目录结构。使用可信的已安装程序，或包内程序的只读校验模式运行
secretbridge verify-package /absolute/path/to/package。Windows 可用包内的bin/secretbridge.exe。 - 仅在退出码为零、报告的平台、架构、版本、schema 和文件清单均符合预期时继续安装。
install会再次校验候选包。
包内清单逐项核对长度与 SHA-256，并检查 Web 构建元数据和 CycloneDX 1.6 SBOM；包还携带源码快照及第三方许可材料。verify-package 只读，不启动后台或读取凭据。校验失败时不要修改清单、手工替换文件或跳过检查，应重新取得完整发行包。