在 Mac 下载页同时看到 DMG 和 PKG 时，先不要按“哪个更像正式安装包”来选。欧义是“欧易”的常见同音输入；这两个扩展名代表不同的交付方式，却都可能被仿冒。正确顺序是先确认下载页与发布主体，再查看文件实际类型、签名和它准备写入的范围，最后结合电脑归属与后续更新路径决定是否继续。
先分清 DMG 和 PKG 各自解决什么问题
DMG 是磁盘映像，打开后通常会挂载一个临时卷，里面可能放应用程序、快捷方式、说明文件，也可能再放一个 PKG。它只是容器，能成功挂载不代表里面的项目可信。PKG 则由 macOS 的安装器处理，可能把程序或配套文件写入一个或多个位置，并可能在确认变更时要求本机管理员授权。
因此，DMG 不天然比 PKG 安全，PKG 也不因使用系统安装器就更“官方”。有些应用适合拖入“应用程序”文件夹，有些需要由安装器放置组件；实际提供哪些格式、适用于哪些系统与地区，只能以当前可信发布信息为准。
三个候选任务中，为什么选择这一题
本槽位对照了三个实质不同的用户任务：第一，Windows 的 ZIP 便携版与安装版怎么选，历史已覆盖移动硬盘、便携运行和更新边界；第二，Mac 下载页同时提供 DMG 与 PKG 时如何判断，历史虽有 DMG 挂载与同名应用替换，但没有覆盖两种格式的写入范围和安装决策；第三，浏览器扩展与桌面 App 的功能边界，历史已有浏览器扩展权限和 PWA 对照。第二项的触发条件、证据链和处置分支最独立，因此信息增益最高。
下载前先固定同一个可信对象
从本人独立确认的可信起点进入，不从搜索广告、群聊文件、网盘、私信客服或二维码短链接力下载。记录脱敏的页面主机名、文件名、扩展名、适用架构和下载时间，再确认页面是否明确同时提供 DMG 与 PKG，以及两者各自适用的系统或部署场景。
- 浏览器下载记录中的最终文件应与本人选择对应，没有未完成后缀、双重扩展或突然改名。
- 系统显示的开发者或签名主体应与可信发布主体对应；熟悉名称、精美图标和有效 HTTPS 都不能单独认证文件。
- 若页面只提供 DMG，第三方额外给出所谓“企业 PKG”，这不是等价格式，而是新增了一条未经验证的发布链。
- 若可信发布方提供摘要，摘要只能核对文件完整性，不能让未知来源或错误发布者变可信。
打开 DMG 后核对容器里的真实项目
先看挂载卷中到底是一个可拖动的 App、一个 PKG、网页快捷方式，还是脚本、证书、描述文件、远控工具等其他对象。DMG 的背景图写着“拖到应用程序”只是说明文字，不证明其中 App 的签名、来源或更新路径。
如果映像里同时出现“修复签名.command”“解除隔离工具”、根证书、VPN 配置或要求关闭系统保护的说明，应停止，不要因为它们和 App 在同一映像内就把它们视为必需组件。弹出映像只会卸载临时卷，不等于删除应用、结束账户会话或撤回已经提交的数据。
运行 PKG 前看清写入范围与授权对象
PKG 进入系统安装器后，应核对准确包名、发布者、签名状态、目标磁盘、预计安装位置和当前系统显示的步骤。管理员确认只代表允许该安装器改变电脑，不认证欧义品牌，也不应把管理员密码交给网页、聊天客服或远控人员。
本人长期控制的个人电脑、家庭共享电脑与公司学校受管设备，处置不同。个人电脑也要确认是否真有安装系统级组件的必要；共享电脑要考虑其他系统用户是否看到程序、通知或下载；受管设备则应遵守合法管理员策略，不能借用管理员账号、终端命令或“免权限版”绕过控制。
特有实例：所谓企业 PKG 要求先导入证书
例如，可信页面只有 DMG，而论坛称“DMG 是个人版，企业 PKG 更稳定”，下载后却要求先导入根证书、在隐私与安全中允许陌生开发者，并让客服远控输入管理员密码。此时格式差异已经不是普通安装选择：文件来源、签名主体、信任设置和远控授权同时发生断裂。
应取消安装，不导入证书、不运行脚本、不共享屏幕，也不用真实账户登录测试。返回独立可信页面确认是否确有对应 PKG；若没有可验证发布说明，就放弃这份文件，而不是靠哈希、论坛人数或系统安装器界面补足信任。
按四种结果决定下一步
- 来源和发布者未核清：不打开、不挂载、不运行，删除或按系统安全方式处理该副本。
- 两种格式都可核验：按发布说明、电脑所有权、所需安装范围与更新路径选择，不同时安装两个副本。
- 仅一种格式可核验：只处理可验证对象；不能因另一格式看似更方便就采用第三方包。
- 已经运行且结果不明：停止敏感输入，从系统正式界面核对应用、登录项、后台项目、扩展、代理、VPN、证书、描述文件、辅助功能、录屏和远控，再从可信账户入口只读检查设备会话与安全绑定。
安装后要验收程序与账户两条线
从“应用程序”或系统安装记录打开实际安装位置，确认运行的不是 DMG 临时卷、下载目录旧副本或第二个同名程序。核对发布者、版本来源、更新入口以及新增的登录项和后台项目；权限只在本人主动使用相应功能时按最小范围决定。
首次登录后只读检查绑定邮箱或手机号、多重验证、通行密钥、恢复方式、设备与会话、通知和授权应用，并核对订单、充提币与账单是否有陌生记录。卸载 App、删除 PKG 或弹出 DMG 不会自动结束服务器会话，也不会撤回已上传资料。
风险提示
警惕“企业 PKG”“免签 DMG”“安装证书激活”“地区解锁”“付费公证”“管理员代装”等说法。不要关闭系统保护、运行终端修复命令、导入陌生证书或 VPN、共享屏幕或远控；不要交出管理员密码、账户密码、验证码、备份码、Cookie、通行密钥确认、身份资料、助记词或私钥，也不要支付安装、认证、审核、解冻或保证金费用。不得通过修改地区、借用身份或绕过设备与组织策略获得不适用服务。
资料来源
可结合 汇利网 的安全与风险资料建立核对清单；具体下载格式、签名、系统要求和适用边界，以用户当前可验证的可信页面、macOS 系统信息及合法设备管理要求为准。
本文由会计考试网(www.kjks.net)整理！仅供学习参考！
