猫啃网
有个做品牌 vi 的朋友去年中招：从搜索结果里点进一个下载站，下了款标题字体，装完第二天浏览器主页被改了。他不明白——一个字体文件怎么会有这种权限？
答案是不一定出在字体文件本身，也可能出在他顺手装的”高速下载器”。这种事没法靠”感觉这个站挺正规”来避免，得有可执行的检查步骤。
先说结论：判断一个字体下载站安不安全，看四件事——下载链路、文件本身、授权信息、站点维护状态。四步走完，基本能避开常见的大坑。
一、先分清两种”不安全”
多数人说的”不安全”，其实混了两类完全不同的问题。
文件层面的风险：下载到被植入恶意代码的文件、被诱导安装下载器或浏览器插件、压缩包里夹带无关程序。这类问题影响的是你的电脑。
授权层面的风险：文件本身干净，但你没有把它用在商业项目里的权利。这类问题不影响电脑，影响的是你和客户的合同——一批印刷品印完才发现侵权，损失比装个插件大得多。
这两类的检查方法完全不同，得分开处理。下面四步里，前两步管文件，后两步管授权。
二、第一步：查下载链路
点下载按钮之前，先看这个按钮会把你带到哪。
相对可靠的信号：页面直接给出字体文件的下载直链，或者跳一次就到文件；下载前不需要安装任何客户端、下载器、插件；下载域名和站点域名一致或至少可辨认。
需要留神的信号：点了下载之后连跳三次以上；页面提示”使用高速下载器可提速”；要求关注公众号、加群、转发才能拿到提取码；弹出的下载框里文件名和页面标题对不上。
网盘单独说一句：网盘本身不是问题，很多字体作者确实用网盘分发。问题在于你拿不到校验信息——如果页面同时给了文件大小、版本号、更新说明，可信度就高；只有一个链接加一句”长期有效”，就得打个问号。
三、第二步：查文件本身
拿到压缩包之后，别急着双击。
看格式。正常字体文件是 .ttf、.otf，网页用的是 .woff / .woff2。如果解压出来是 .exe、.scr、.msi、.bat，或者一个”字体安装器.exe”，直接删掉——字体不需要可执行程序来安装。
看体积。中文字体因为字数多，单字重通常在 3MB 到 20MB 之间，GBK 覆盖的会更大。一个声称”完整简繁”的中文字体只有几百 KB，不是缺字就是被二次处理过。
看压缩包内容。正常情况是字体文件加一份授权说明（License.txt 或授权书 PDF）。如果里面塞了浏览器快捷方式、无关的软件安装包，或者要求你先运行某个程序，就别继续了。
必要时校验。发布方给了 MD5 或 SHA 值的，对着验一遍。给值的站不多，但给了就说明维护者在意这件事。
四、第三步：查授权信息
这一步决定你能不能商用，也是常被跳过去的一步。
看三个位置：字体详情页的授权一栏、压缩包里的 License 文件、发布方的原始声明。三处说法一致，才算确认。只写”免费下载”没写协议的，按”未授权商用”处理，别赌。
协议类型上，OFL 和 MIT 属于条款清晰的开源协议，商用、修改、分发一般都被允许，主要限制是不能单独出售字体文件；作者声明类要看具体条款，有的允许印刷和线上投放，但把商标注册单独排除在外；GPL 有传染性，字体嵌进软件分发时条款会连带影响你的软件。
五、第四步：查站点维护状态
这一步是给前几步兜底的：一个长期有人维护的站，出问题的概率比无人维护的低得多。
看更新日期——字体条目有没有版本号和更新记录，上一次更新是什么时候；看说明完整度——有没有协议标注、字数覆盖、适用场景、来源链接；看有没有反馈入口——联系方式、纠错通道、评论区是否有人回复。
猫啃网现在收录 839 款免费商用中文字体，每款标了协议类型和适用场景，可以按类目直接筛。找标题字可以看站酷高端黑（站酷高端黑）、庞门正道标题体（免费版）（庞门正道标题体（免费版））、得意黑（得意黑）；找正文看思源黑体（思源黑体）、阿里巴巴普惠体（阿里巴巴普惠体）；找圆体看站酷快乐体（站酷快乐体）、耀圆体（耀圆体）。每个详情页的授权栏都能直接核对协议。
授权说明：三步核验法
第一步，确认字体名。 用详情页上的完整名称核对，不用简称，也不靠”长得像”来判断。改版和衍生字体差别很大，比如霞鹜文楷（霞鹜文楷）和霞鹜文楷 GB（霞鹜文楷 GB）是两套文件，条款分开写。
第二步，查协议类型。 看授权一栏写的是 OFL、作者声明还是 MIT / GPL，再读附加条款：是否禁止单独转售、二次改字是否允许、LOGO 和商标注册要不要另谈。
第三步，核使用场景并留凭证。 列出实际用法——印刷、网页嵌入、App 内嵌、视频字幕、二次改字、商标注册——逐项确认。之后把授权页截图存档，文件名带上字体名和查询日期。真出争议，这张截图能证明你做过核验。
下载与安装
安装本身没什么技巧：Windows 右键选”为所有用户安装”，macOS 拖进字体册，Linux 放进 ~/.fonts 后执行 fc-cache -fv。装完重启设计软件。
如果不希望字体长期占用系统字体库——装多了会让软件启动变慢、字体列表难翻——可以用客户端方式：猫嗃网字体管理工具 。字体在客户端里按需激活，不写进系统目录，项目结束停用即可，换机器也不用重装。
FAQ
Q：杀毒软件扫描没问题，是不是就安全了？
A：只解决了文件层面的问题。杀毒软件不判断授权，一个完全干净的字体文件照样可能没有商用许可。四步里前两步管安全软件能查的部分，后两步得自己看。
Q：压缩包里的 .exe 安装器，是不是都是病毒？
A：不都是，但没必要冒这个险。字体文件本身双击就能装，不需要安装器。规范的发布方也不会把字体打包成可执行程序。
Q：同一款字体在不同站点的文件大小不一样，哪个是真的？
A：以发布方给的数据为准。差异通常来自版本不同（字数覆盖、字重数量不同），也可能来自二次打包。体积对不上时，按”存疑”处理，去官方渠道重下一次。
Q：我确认过授权了，还需要留截图吗？
A：要。字体授权条款会被修改，页面会被撤下，你现在看到的内容半年后未必还能打开。截图存证是为将来的自己留一条可追溯的记录，成本是几秒钟。
小结
判断一个字体下载站安不安全，别靠页面观感。按四步走：查下载链路（跳几次、要不要装东西）、查文件本身（格式、体积、压缩包内容）、查授权信息（协议类型加附加条款）、查站点维护状态（更新、说明、反馈入口）。前两步保电脑，后两步保项目，四步都过了再装。
