验证包格式、路径、资源、引用、可达性和哈希，不代表内容绝对安全。
维护者检查过内容和基本体验，不代表实名认证。
registry目前没有独立数字签名，客户端安装时仍会重新计算SHA-256并完整校验案件包。