梯子客户端认准官方渠道，电脑和安卓装开源客户端项目的 GitHub Releases，iPhone 装 App Store 里开发商对得上的正版。搜索结果里的“中文官网”、网盘、群文件、破解版都不要碰，安全厂商报告过仿冒 Clash 下载站在安装包里植入后门、记录键盘。装好以后也从官方渠道更新，别装陌生人给的描述文件和证书。
假冒客户端是真实存在的
安全厂商公开写过这类案例。火绒安全 2025 年 4 月的报告分析了一个仿冒 Clash 下载页的网站，安装包在装上 Clash 的同时植入后门，能监控剪贴板、窃取敏感信息，还把文件撑到 100MB 以上，躲避云查杀。
2026 年 4 月，安全公司 eSentire 又披露了一轮针对中文用户的搜索投毒。攻击者注册仿冒域名、操纵搜索排名，把搜 FinalShell、Xshell、QuickQ VPN 和 Clash 的人引到带木马的安装包，植入的远控程序能执行命令、记录键盘。
梯子客户端成了目标，原因不难想。新手常用搜索引擎找下载，官方的 GitHub 页面在国内有时打开很慢，搜索结果前面的“中文官网”看着更顺手。
只认这几个官方渠道
| 客户端 | 适用系统 | 官方来源 |
|---|---|---|
| Clash Verge Rev | Windows、macOS、Linux | clash-verge-rev/clash-verge-rev，GitHub 发布页 |
| v2rayN | Windows、macOS、Linux | 2dust/v2rayN，GitHub 发布页 |
| FlClash | Windows、macOS、Linux、安卓 | chen08209/FlClash，GitHub 发布页 |
| Clash Meta for Android | 安卓 | MetaCubeX/ClashMetaForAndroid，GitHub 发布页 |
| v2rayNG | 安卓 | 2dust/v2rayNG，GitHub 发布页 |
| 小火箭 Shadowrocket | iPhone、iPad | App Store，开发商一栏应为 Shadow Launch Technology Limited |
本站梯子客户端下载页的安装包按钮直接指向这些官方发布页的文件，版本号由脚本从官方仓库和 App Store 读取。页面上的“加速”按钮经第三方镜像 gh-proxy.com 中转，文件本身仍来自官方发布，能直连 GitHub 时优先直连。
GitHub 上还有不少“导航仓库”，只有一个 README，列着各种客户端的下载地址。它们本身不是官方项目，从这类页面跳转时，看清最后落到的是不是上表里的仓库。
仿冒网站的几个特征
域名不对。 开源客户端的安装包在 github.com 的项目仓库里发布，有的项目另有官网，官网地址会写在仓库首页。网址两边都对不上，页面却写着“官网”“中文官方”，先别下。
开源软件要收费。 上表里的电脑和安卓客户端都免费开源。要你付费下载、买“会员版”“破解版”的，都不是官方渠道。
下载要绕路。 下载按钮跳网盘，或者要你先装一个“高速下载器”，都不是官方的发布方式。
提供已经停更的“最新版”。 Clash for Windows、Clash for Android 两个客户端的官方仓库已经删除，本站核验时 GitHub 返回 404。现在还挂着“Clash for Windows 最新版下载”的网站，文件从哪来都说不清。停更以后换什么，见Clash for Windows 停更以后用什么。
文件大小对不上。 仿冒安装包可能被故意撑大。拿本站下载页标注的大小对照一下，像 Clash Verge Rev 2.5.5，Windows x64 安装包是 56.7MB，差得离谱就删掉。
手机上的山寨 App 和改包
iPhone 上只从 App Store 装。搜 Shadowrocket 会出来一串名字、图标相近的 App，付款前核对开发商一栏，应为 Shadow Launch Technology Limited，价格在美区是 2.99 美元。外区 Apple ID 怎么准备，见苹果手机怎么挂梯子，别图省事买来路不明的共享账号。
有网站让你下载描述文件，说装上就能翻墙，别装。描述文件能改动手机的网络和安全设置。要是里面带了根证书，你又到“设置 > 通用 > 关于本机 > 证书信任设置”里打开了完全信任，对方就有机会解开你的 HTTPS 流量。
安卓的 APK 只从项目的 GitHub Releases 下载，网盘、群文件里的“去广告版”“汉化版”一律不装。安卓有个规则能帮你识别改包。Android 开发者文档写明，系统安装更新时会比对新旧版本的签名证书，一致才允许更新。你装着官方版，用一个来路不明的 APK 覆盖安装，提示签名不一致、装不上，说明它和官方版不是同一个签名，别为了装上它去卸载原版。
装好以后也要从官方更新
客户端本身也会出安全问题。v2rayN 的 7.24.9 版在 2026 年 8 月 29 日推出，是一次紧急安全更新。按官方的说明，旧版自带的下载功能有被中间人劫持、拉到恶意文件的风险，所有人都应该马上升级。还在用旧版的，去官方发布页手动下载新版，别用旧版的内置更新。
开源客户端导入订阅，只需要一条订阅链接，用不到你的机场账号密码，也用不到支付信息。来路不明的“客户端”一上来就要这些，直接删掉。
怀疑装了假客户端怎么办
- 断开网络，卸载这个客户端，删掉安装包。
- 用 Windows 安全中心或你信任的安全软件全盘扫描一次。
- 换一台确认干净的设备，修改邮箱、支付、社交账号的密码，打开两步验证。
- 去机场后台重置订阅链接，让旧链接作废。
- 从上表的官方渠道重新下载客户端，再导入新订阅。
有人会搜“翻墙软件黑名单”。本站不做黑名单，仿冒网站换个域名就是新的，名单很难列全。只认官方渠道，比记住哪些不能下更管用。更多隐私和账号安全的注意事项，见用梯子安全吗。
常见问题
从镜像站或加速链接下载安全吗？
镜像只是中转，文件本身来自官方发布，但你多信任了一方。本站下载页的“加速”按钮经第三方镜像 gh-proxy.com 中转，能直连 GitHub 时优先直连。用镜像下载的，核对文件名和大小是否和官方发布页一致。
应用商店里搜到名字带 Clash 的 App，能装吗？
名字带 Clash 不代表就是某个开源项目的官方版。先查开发者是谁、项目主页在哪、主页上给的下载入口是不是这里。对不上的别装。iPhone 上的正版小火箭，开发商一栏应为 Shadow Launch Technology Limited。
杀毒软件报毒，是不是说明客户端是假的？
不一定。梯子客户端要改系统代理、装服务、建虚拟网卡，安全软件有时会拦截，本站教程里就提到过 360 这类软件拦截服务安装。判断真假靠来源，从官方发布页下载、文件名和大小对得上的，再决定要不要放行。来源不明的，报不报毒都别装。
别人发来一个描述文件，说装上就能免费翻墙，能装吗？
不能。描述文件能改动 iPhone 的网络和安全设置，里面要是带了根证书，你再手动信任，对方就有机会解开你的加密流量。导入订阅、连接节点都用不到描述文件。