第一选择永远是项目官网

开源软件优先从项目官网或官方代码仓库下载；商业软件从开发商官网或系统应用商店获取。搜索引擎广告位、下载站和论坛附件都不应该比官方入口优先。

如果项目官网提供 SHA256、数字签名或发布页，可以顺手核对。这个步骤对冷门工具尤其有价值。

安装时看它实际要什么权限

一个字幕编辑器需要读写你选中的字幕文件很正常，但它没有理由要求浏览器全部密码、系统管理员常驻服务和开机自启全部一起上。

安装器如果默认勾选额外浏览器、清理工具、桌面助手，也要认真取消不需要的项目。

“能用”不等于“安全”

恶意软件完全可以一边正常完成工具功能，一边做额外动作。不要因为它真的能下载图片或转换字幕，就自动相信安装包来源。

对于几年没维护的工具，先找有没有仍在维护的替代方案。系统越新，老工具依赖的组件和权限模型越容易出兼容问题。

便携版也要看来源

很多开源工具确实有免安装压缩包，但“Portable”三个字不是安全证明。官方 Releases 提供的便携包和第三方下载站重新封装的版本是两回事。找不到官方发布记录时，宁可多花几分钟确认，也别为了省安装步骤冒险。