免费服务器和付费服务器区别

## 先说一个真实的事

去年有个朋友，从某源码分享站下载了一个免费服务器和付费服务器区别的源码包，解压后直接部署到服务器上。三天后服务器开始异常——CPU 莫名跑满，流量异常 outbound。查下来是源码包里被植入了挖矿脚本。

这件事之后，我给自己定了个规矩：免费服务器和付费服务器区别相关的安装包，必须从可验证的渠道获取。下面说具体怎么做。

## 靠谱的获取渠道

**首选：官方渠道**。官方通常会提供 SHA256 校验值，下载后比对，一致才说明文件没有被篡改。

**次选：有官方认证的开源平台镜像**。选的时候看三个指标：是否有官方认证标识、Star 数是否超过 1000、最近 6 个月是否有更新。三个条件缺一个，都建议再斟酌。

## 拿到安装包后必做三件事

第一件：算哈希值。Mac 上用 `shasum -a 256 文件名`，Linux 上一样。把输出和官方提供的哈希值逐字符对比，一个字符不对都不要用。

第二件：杀毒扫描。不管你从多靠谱的渠道下载的，扫一遍总没坏处。

第三件：检查文件大小。如果下载的文件比官方标注的小了 5% 以上，大概率被二次打包过，建议直接删除。

## 解压和安装的注意点

解压路径用纯英文，不要包含空格和特殊字符。解压后先看一下目录结构是否完整，有没有`.env.example`、有没有`README.md`，这两个文件存在说明项目比较规范。