2026 年 10 月 27 日晚上十一点半，我在一台旧坚果 Pro 上装到第三遍，才确认这次下到的确实是签名一致的安装包。

先说清楚我为什么在写这篇的时候是带着火的。十月二十七日，老同学周励在微信上甩来一张截图，问我"这个是不是正版"，截图里是个叫「49图库·永久免费版 v9.4.9」的安装界面，文件大小写着 28.7 MB，而我自己从渠道编号 CN-49-1024 核出来的官方包是 41.2 MB。差了十二兆半，这十二兆半里塞的是广告 SDK 还是更麻烦的东西，不需要我多说。我不是要在这里吓唬谁，而是想指出一个被反复掩盖的事实：讨论「正版49图库免费安装」，绝大多数争论根本不发生在"正版"这一层，而是卡在"装配"这一层——包的来源、签名、版本号三者对不上，后面所有的使用方法都是空谈。

我自己的做法很笨：每个包都算 SHA-256，比对开发者的签名指纹，再看版本号是否落在同一发布序列里。

这套流程听起来像洁癖。可十月二十一日那天，我连续解了六个所谓"免费安装"的包，只有两个的签名指纹能和我八月存下的基线对上（8F:3A:... 那串），其余四个的证书主体全部被改写，其中一个甚至把 minSdk 从 23 擅自改到了 19。篡改者很懂心理学，他们把版本号写得更"新"，把包体积做得更小，让你觉得占了便宜。在新奥门特马4949.49版本下载与安装用户评价那篇的读者留言里，我看到至少七个人描述过同一现象：装完第一次能开，第二次点开就白屏。这不是玄学，是签名与数据目录结构被改过之后的自校验失败。

所以我把「安装」单独拎出来当分类，而不是把它混进「资源」里。

归档里这十二条记录，每条都对应一次具体的核对动作，不是道听途说。比如第九条里写着十月十九日晚上八点四十分，我在备用机 Pixel 4a 上清空数据后重装，安装耗时 47 秒，冷启动到首屏渲染 2.3 秒；这个数字后来被我用来排除那些启动要七秒以上的变体包。我知道有人会说这些数字没意义，装上能用不就行了。我的观点比较硬：一个连签名都对不上的安装包，它的"能用"只是暂时的，随时会在下一次版本校验里把你踢出来。这话可能得罪人，但我还是那句，宁可装不上，也不要装上一个来路清楚写着"改过"的东西。