下载发布包后怎么核验：避免把文件名当成版本依据

发布包名称只能提供线索，实际部署前应确认来源、内容和完整性。

核对发布页与校验信息

从项目正式发布渠道取得包和校验信息，确认版本标签、哈希值及适用平台一致。

保存可追溯记录

记录下载地址、校验结果、部署时间和操作者，便于后续排查。依赖与构建来源的通用做法可见开源依赖来源管理。