为什么必须验证DMG文件完整性？
Telegram官网下载的Mac版以DMG格式分发。网络传输、存储介质故障，以及恶意中间人攻击，都可能导致文件损坏或植入恶意代码。通过校验哈希值（如SHA-256），你可以确认你拿到的文件与官方发布的内容完全一致——哪怕一个字节的差异，哈希值都会不同。
本指南将教你使用macOS自带的终端工具，快速完成DMG文件完整性验证。
第一步：获取官方SHA-256哈希值
Telegram官方在Mac版下载页面提供了当前版本的哈希值。请务必从以下权威渠道获取：
- Telegram官网的Mac版下载页面中，点击“SHA-256”链接查看。
- Telegram GitHub发布页面（注意必须是官方仓库），每个版本都附带哈希值。
建议复制哈希值，避免手动抄写错误。
第二步：打开终端并定位DMG文件
打开“终端”（应用程序→实用工具→终端）。使用 cd 命令切换到DMG所在目录。例如，如果DMG位于“下载”文件夹：
cd ~/Downloads第三步：使用SHA-256校验文件
在终端中执行以下命令（将文件名的中文部分替换为实际文件名）：
shasum -a 256 Telegram-macOS-10.15.dmg系统会计算并输出一段64位的十六进制字符串，这就是该文件的SHA-256哈希值。
第四步：对比哈希值
将终端输出的哈希值与官网公布的哈希值逐字符比对。如果完全一致，说明文件完整且未被篡改；如果不一致，请立即删除该文件，并重新从官方下载。
注意：哈希值对比时必须区分大小写，建议使用复制粘贴方式对比。
额外验证：数字签名（可选）
哈希校验能确认文件完整，但无法证明文件来源。若要确认文件确实由Telegram官方签名，可使用以下命令验证代码签名：
codesign -dv --verbose=4 Telegram.dmg此步骤可进一步降低风险，但哈希匹配通常已足以确认官方文件。
常见问题（FAQ）
问：我下载的DMG没有哈希值显示怎么办？
请确认访问的是Telegram官网（如 telegram.org/dl/mac），或GitHub官方releases页面。第三方站点可能省略此信息。
问：能否校验打开过的DMG？
校验应在挂载安装前进行。若已打开过，可重新下载校验后再安装。
问：还有其他哈希校验方法吗？
可以使用 openssl dgst -sha256 file.dmg 得到相同结果。图形化工具如“HashDrop”也支持，但命令行更通用。
问：校验完成后还需要注意什么？
建议开启macOS的Gatekeeper，并直接从下载页安装，不要使用第三方清理工具修改DMG内容。
总结
验证DMG完整性是确保系统安全的重要一步。通过本指南的SHA-256校验，你可以放心安装来自官方的Telegram Mac版。坚持从官方渠道下载，并养成校验习惯，可以有效避免恶意软件风险。