Windows Authenticode、macOS Gatekeeper 与 codesign、Linux 包签名/自算摘要的实际做法；如实说明官方不逐包公开 SHA-256，并给出网盘镜像的五项额外检查。
所以本站不会给你一串好看但无法追溯的校验码。
本篇讲 cursor校验签名。第一个必须澄清的事实是：官方下载页提供多种安装包与历史版本切换，但没有为每个包列出公开的 SHA-256 清单。中文搜索里那些「Cursor 3.x 官方校验值」多半是第三方自行计算后转贴，来源与版本对应关系都无法核实。
因此本站不编造校验值，也不建议你拿论坛里的十六进制串当权威依据。可追溯、可复现的核验方式是操作系统级签名验证：Windows 看 Authenticode 数字签名，macOS 看 Gatekeeper 公证与 codesign，Linux 看包管理器签名与自带摘要。
不用装工具，资源管理器就能看。
右键下载得到的 exe → 属性。
存在该选项卡说明文件带签名；完全没有则应立即停止运行。
选中签名 → 详细信息，确认签名者名称与状态为有效，签发主体应与 Anysphere, Inc. 一致。
状态显示「此数字签名正常」即可；若提示证书已过期或链不完整，重新从官方源下载。
Get-AuthenticodeSignature .\CursorSetup.exe | Format-List *
# 关注 Status: Valid 与 SignerCertificate.Subject
# Status 为 HashMismatch 表示文件在签名后被改动过，不要运行
系统默认已经帮你做了一次。
# 检查 Gatekeeper 是否接受
spctl -a -vv -t install /path/to/Cursor.dmg
# 查看应用签名
codesign -dv --verbose=4 /Applications/Cursor.app
# 验证签名完整性
codesign --verify --deep --strict --verbose=2 /Applications/Cursor.app
首次打开时若被系统拦截，先确认安装包来源，再到「系统设置 → 隐私与安全性」点「仍要打开」；不要用全局关闭 Gatekeeper 的方式来绕过提示。
如果 dmg 反复提示「已损坏」，通常是下载不完整，重新下载比改系统设置更合理。
按包格式分三种做法。
| 格式 | 核验方式 | 注意 |
|---|---|---|
| deb | 用 apt/dpkg 安装，由仓库签名机制校验 | 手工下载的 deb 可用 dpkg-deb --info 看元数据 |
| rpm | 用 dnf/yum 安装，校验 GPG 签名 | rpm -K 可查包签名 |
| AppImage | 对下载文件自行计算 SHA-256 并留档 | 与同批次来源比对，用于发现传输损坏而非防伪 |
sha256sum Cursor-*.AppImage
# 把结果记录到团队的安装台账，便于多台机器核对一致性
# 注意：自算摘要只能证明文件未被改动，不能证明发布者身份
包括本站保留的网盘备用地址。
| 检查项 | 做法 | 不通过怎么办 |
|---|---|---|
| 版本号 | 安装后到「关于」里核对是否为 3.30 | 版本对不上就弃用 |
| 数字签名 | 按上文 Windows / macOS 方法验 | 无签名或签名者不符立即删除 |
| 文件体积 | 与官方同类包量级比对 | 差异过大可能是二次打包 |
| 网络行为 | 首次运行时留意是否请求陌生域名 | 有异常立即断网并卸载 |
| 账号安全 | 不要在任何镜像包里输入主账号密码 | 怀疑泄露就立即改密 |
cursor校验签名 的建议很简单：能走官方源就走官方源；必须走镜像时，把上面五项当作固定流程。
把核验写成清单，而不是靠个人记性。
一句话总结 cursor校验签名：官方没有逐包 SHA-256，能验的是系统级签名与公证；任何声称「官方校验码」的第三方清单都要打折看。