先对域名，再对下载页，最后看跳转和账号。顺序反了，后面全是白忙。
今天要核对下载来源，最短可行解就这三步：打开你准备下载的那个页面，看地址栏主域名是不是你认准的那一个；再看下载按钮点下去之后，文件是从哪个域名拉下来的；最后看安装前后有没有让你登录、授权、填手机号。三步里任何一步对不上，先停，别继续。
域名怎么对
多数情况，你只需要盯住主域名那一段，也就是第一个斜杠之前、www 之后的那串。比如页面显示的是 `xxx.example.com/download`，那主域名就是 `example.com`，前面的 `xxx` 是子域，子域可以随便开，不能拿它当判断依据。真正要核对的是 `example.com` 这一层。
这一步容易踩坑的地方在于：子域长得像官网，主域名却是个陌生后缀。像 `kf-xxx.abc123.top` 这种，`abc123.top` 才是它的真实归属，前面那串花活不算数。同理，域名里带连字符、带数字、多拼一个字母，都要当成另一个域名来看，不能靠“看着差不多”放过去。
还有一种，页面本身是正经域名，但下载按钮指向别处。把鼠标悬停在按钮上（手机上长按），看它准备跳去的地址。如果按钮在 `a.com`，跳转目标是 `b.com/file.apk`，那就得先搞清楚 `b.com` 是不是同一个主体在用的下载域名。搞不清就退回，别点。
下载环节看什么
下载来源核对，重点不是页面长什么样，是文件从哪来。
按下去之后，浏览器一般会在下载记录里显示来源域名。安卓上如果走的是应用商店，来源就是那个商店本身；如果走的是网页直链，来源就是文件所在的那个域名。这里对不上前面那个主域名，就要警惕。
缓存也会骗人。有时候你之前打开过仿冒页，浏览器缓存了旧页面，地址栏看着像你熟悉的，内容却是旧的。遇到这种，清一下当前站点缓存，或者换个无痕窗口重新打开，再看一次域名。这一步花不了半分钟，但能排掉不少假象。
文件后缀同样要扫一眼。正常安装包在安卓上是 `.apk`，iOS 走的是商店或描述文件，不会让你直接下一个来路不明的 `.apk` 装到 iPhone 上。如果下载页给你的后缀对不上你的系统，先别装，回去核域名。
跳转和账号这两关
跳转风险主要出现在“下载完顺手点下一步”的时候。有些页面下载是真的，装完打开却弹出一个网页，让你再登录一次。这时候要看清楚：这个登录页的域名，和刚才下载页的域名是不是同一个。不是同一个，就不要输账号密码。
账号这关的判断标准很直白：正规流程不会在你刚下载、还没进主界面的阶段，就找你要手机号、验证码、支付信息。需要登录才能用的功能，通常是在你已经进入应用之后，由应用内部发起。顺序不对，就是信号。
如果你是从别人发的链接、群里转的短链进来的，先别急着下。短链会经过一次甚至多次跳转，落地页可能和出发页完全不是一个域名。把短链展开（多数聊天工具长按能看到真实地址），看它最终落到哪，再决定。
开云手机相关的下载来源核对，逻辑和上面一样：认准你本来就知道的那个主域名，而不是页面自称的名字。名字可以随便写，域名改不了。至于开云（手机）官方网站具体是哪个域名，以你手上已有的官方渠道信息为准，别从搜索结果的广告位或陌生私信里现找一个来对——那样等于拿一个未知去验证另一个未知。开云手机平台这类说法也一样，它是个称呼，不是域名，不能拿来当核对依据。
什么时候用这套
你正准备从网页下载、又不太确定这个页面是不是你要找的那个来源时，用上面三步。已经装好了、只是有点怀疑的，也可以倒回去查下载记录里的来源域名，对不上就卸载重来。
要是你本来就有官方应用商店的入口，或者手里存着确认过的官方地址，那就不用绕这一圈，直接从那个入口走。这套核对是给“来源不明、需要自己判断”的场景用的，不是让你每次下载都重新验一遍。
