Security
LightC 安全中心
确认手上的安装包来自官方，只需要一分钟。
Official
官方下载渠道
LightC 只通过下面这些渠道发布。其它来源的文件，无法确认它经过了什么改动。
非官方网站、网盘转存、第三方安装包都经过了中间环节，无法保证文件没有被改动。不确定来源时，请回到上面的官方入口重新下载。
Why
为什么需要验证
用的人多了之后，出现了未经授权转载、二次打包的 LightC 安装包。它们大多只是搬运，但中间多了一道别人的手，就可能夹带改动过的内容、捆绑软件或过期版本。
你不需要去猜测某个下载站是否可靠。只需要知道一件事：官方版本可以被验证，方法就在下面。
Verify
如何验证是否为官方版本
两条路径，按习惯选一条即可。结论是同等的 —— 都在核对这份文件是不是由官方签名发布的那一份。
普通用户：用软件内置的校验
- 打开 LightC，进入「设置」
- 左侧选择「安全与校验」
- 点击「校验文件完整性」，等两秒
- 显示「当前为官方原版」即通过
如果显示「无法连接 GitHub」，那只是没能取到官方签名文件，不代表文件有问题，换个时间重试即可。显示「签名与当前文件不匹配」才说明这个 LightC.exe 不是官方发布的那一份。
高级用户：手动核对
SHA256 对比
算出本地文件的 SHA256，与官方公布的值逐位对比。
$file = ".\LightC_2.18.0_x64-setup.exe" (Get-FileHash $file -Algorithm SHA256).Hash.ToLower()
注意：SHA256 一致只能说明文件在传输中没有损坏，不能证明来源 —— 任何被改过的安装包同样能算出合法的哈希。对照值必须来自官方渠道才有意义。
官方签名验证（minisign）
与软件内置校验用的是同一套机制：官方私钥签名、程序内置公钥验证。需要先装好 minisign，并进入安装包所在目录执行。
$ver = "2.18.0" $file = ".\LightC_" + $ver + "_x64-setup.exe" # 1) 保存官方公钥 @' untrusted comment: minisign public key: 574BE6E57378D2A4 RWSk0nhz5eZLVzJnu+Ju+ZZUjHJ/W9euwexXyn0lTRyQroMSgHvDjldZ '@ | Set-Content -Encoding ascii minisign.pub # 2) 取该版本的安装包签名，并解出 minisign 文本 $url = "https://github.com/Chunyu33/light-c/releases/download/v" + $ver + "/LightC_" + $ver + "_x64-setup.exe.sig" $sig = (Invoke-WebRequest $url).Content [Text.Encoding]::UTF8.GetString([Convert]::FromBase64String($sig)) | Set-Content -Encoding ascii app.minisig # 3) 验签 .\minisign.exe -V -m $file -x .\app.minisig -p .\minisign.pub
minisign 是通用的签名工具，从它的官方仓库取 Windows 版即可。便携版请先解压 —— LightC_portable_exe.sig 验证的是压缩包里的 LightC.exe。minisign
Notice
已发现的非官方站点
以下是作者核实过的、未经授权分发 LightC 的站点。只陈述可核对的事实。
| 网站地址 | 类型 | 状态 |
|---|---|---|
| http://lightc.zhangxingshizu.com | 冒用官方名称 | 目前仍可访问 |
| https://xo.xinyalihz.cn/s/lightc-windows-c-disk-cleane | 未授权转载 | 目前仍可访问 |
名单只收录已核实的站点，不代表只有这些。发现新的可核对来源会继续补充。
Promise
安全承诺
下面这些不是说法，是程序本身的行为。
- 扫描与清理都在你的电脑上完成，不把文件内容传到任何服务器
- 不上传、不收集你的个人数据，软件里没有统计与埋点代码
- 删除、卸载、清理注册表这类不可逆操作，一律等你确认后才执行
- 不捆绑广告软件，不静默安装任何第三方程序
- 唯一会联网的动作是检查更新与核对官方签名
请尽量附上这些信息
- 网站地址
- 下载链接
- 文件 SHA256（可用上面的命令算出来）
- 页面或安装过程的截图