看数字签名，三步确认安装包没被动过

数字签名是判断安装包真伪最硬的一条证据：文件被改过一个字节，签名就会失效。Windows 自带工具就能查，不用装任何软件。

结论

右键安装包 → 属性 → 数字签名。列表为空 = 高危，直接删。有签名但显示「无效」或「证书已吊销」= 被改过，同样删。签名有效但签名者是陌生公司 = 需要再查。

01第一步：看有没有签名

右键下载好的 mt5setup.exe（或已安装的 terminal64.exe）→「属性」→ 切到「数字签名」标签页。

看到的情况	判断	怎么处理
签名列表完全为空	文件从未被签名，或签名被剥离	高危，直接删除，不要运行
有签名，状态显示「此数字签名正常」	文件与签名匹配，未被篡改	继续看签名者是谁
有签名，但提示「无效」	文件被修改过，签名对不上	高危，删除
有签名，但提示「证书已被吊销」	签发证书已被官方作废	高危，删除
有签名，但提示「无法验证」	本机缺少根证书或离线状态	联网后重试，仍失败则谨慎

02第二步：看签名者是谁

双击列表里的签名项 →「查看证书」→「详细信息」，看「使用者」字段。正规来源通常是这两个之一：

MetaQuotes Ltd. 或 MetaQuotes Software Corp. —— 通用版，以及多数经纪商定制版的编译方。
某经纪商的公司全名 —— 经纪商自己重新签名打包的定制版，也属正常。
任何与交易软件无关的公司名（尤其是个人名、贸易公司、科技工作室）—— 高度可疑，不要运行。

03第三步：确认证书链完整

同一个证书窗口切到「证书路径」标签，应该能看到三层：根证书 → 中间证书 → 签名证书，且每层都没有红色叉号。出现黄色感叹号多半是本机根证书库过期（Windows 长期没更新），联网跑一次 Windows Update 就能解决，不一定是文件有问题。

04命令行批量验签（可选）

如果你要核对多个文件，用 Windows SDK 里的 signtool 更快。命令是 signtool verify /pa /v 文件路径。输出里有「Successfully verified」就是通过，「SignTool Error: 数字签名...」就说明有问题。没有装 SDK 的话，用下面的 PowerShell 也能看到签名状态：

Get-AuthenticodeSignature '.\mt5setup.exe' | Format-List Status, StatusMessage, SignerCertificate

注意

一个容易踩的坑：从网盘或聊天软件收到的 exe，Windows 会给它打上「来自其他计算机」的标记（Zone.Identifier），这个标记会让 SmartScreen 弹警告，但它本身不代表文件被篡改。判断依据始终是数字签名，不是 SmartScreen 的黄色警告条。

FAQ常见疑问

签名有效就一定是正版吗？

不一定。签名只证明「这个文件从签名那一刻起没被改过」，不证明「签名的人值得信任」。如果签名者是一家你没听过的公司，文件可能确实没被篡改，但它本来就不是官方版本。签名有效 + 签名者是 MetaQuotes 或你的经纪商，两条同时满足才算是正规来源。

为什么我的安装包没有数字签名，但能正常用？

能运行不代表安全。有些第三方站点会用工具重新打包并剥离签名，剥离后程序照样跑。这类包可能被捆绑了挖矿程序、远控木马，或者改了服务器指向。只要没有有效签名，就不要在能交易的电脑上运行。

从经纪商官网下的包，签名者却是 MetaQuotes，正常吗？

完全正常。定制版多数是 MetaQuotes 编译后交给经纪商分发，签名保持 MetaQuotes 不变，只有品牌资源被替换。这种情况下验证签名者是否为 MetaQuotes 就够了。

Mac 版怎么验签？

打开「终端」，执行 codesign -dv --verbose=4 /Applications/MetaTrader\ 5.app，输出里 TeamIdentifier 应该是 MetaQuotes 相关的标识。如果提示「code object is not signed at all」，说明这个 app 被改过签名，不要用。

→接下来看

算一遍哈希数字签名解决「有没有被改」，哈希解决「有没有下坏」。两者不是一回事：签名有效的包，也可能因为下载中断而缺…这五类来源的 MT5 安装包仿冒 MT5 的安装包不是稀有事件。它们的共同点不是界面做得像，而是利用你着急下载的心态——用广告位、用…三个地方不用拆包、不用看代码。打开终端，依次看标题栏、服务器列表、关于窗口，三处对完就能确定手上这个是什么版本。…

本文核对于 2026 年 10 月 29 日。软件界面与经纪商政策可能变化，以官方页面为准。