首先访问官网https://www.torproject.org/下载Tor Browser，然后选择正确操作系统版本，接着下载对应的.asc签名文件，再导入官方GPG公钥EF6E 286D DA85 EA2A 4BA7 DE68 0E1F 1091 D17C 9FAC，最后通过gpg --verify命令验证文件签名确保其完整性和真实性。
如果您希望使用洋葱浏览器（Tor Browser）来增强您的网络隐私和匿名性，确保从官方渠道下载并验证文件的完整性和真实性至关重要。任何从非官方或被篡改的来源下载的软件都可能包含恶意代码，严重威胁您的安全。以下是确保您获得纯净、安全版本的操作步骤：
一、访问官方网站
获取洋葱浏览器的首要步骤是连接到其唯一的官方网站，以避免钓鱼网站和恶意镜像。该网站使用HTTPS加密，并且其域名是固定的。
1、打开您的常规网页浏览器。
2、在地址栏中手动输入 https://www.torproject.org/ 并访问。
3、在官网首页上找到“Download Tor Browser”按钮，并点击进入下载页面。
二、选择正确的操作系统版本
官网会自动检测您的操作系统并推荐相应的版本，但您也可以手动选择。下载错误的版本可能导致无法安装或运行。
1、在下载页面，确认为您当前使用的操作系统（Windows, macOS, 或 Linux）所推荐的版本。
2、如果需要为其他系统下载，请点击“Not your operating system? Download for another platform.”链接进行选择。
3、点击对应操作系统的“Download for [Your OS]”按钮开始下载安装文件。
三、下载签名文件（.asc）
为了验证下载的安装包未被篡改，您必须同时下载与之对应的数字签名文件（.asc文件）。此文件用于后续的密码学验证。
1、在您开始下载主安装文件后，滚动到该下载链接下方。
2、找到并点击与您下载的安装文件同名，但扩展名为 .asc 的链接。
3、将此 .asc 签名文件保存到与安装文件相同的目录下，以便于管理。
四、导入官方GPG公钥
要验证签名，您需要先将洋葱浏览器项目官方的GPG公钥添加到您的密钥环中。这是建立信任链的基础。
1、打开您的命令行终端（Windows用户可使用Git Bash或WSL，macOS和Linux用户使用Terminal）。
2、执行命令：gpg --recv-keys "EF6E 286D DA85 EA2A 4BA7 DE68 0E1F 1091 D17C 9FAC" 以从公共密钥服务器获取官方公钥。
3、等待命令执行完成，确认公钥已成功导入您的本地GPG密钥环。
五、验证文件签名
使用您导入的官方公钥来检查下载的安装文件是否与官方发布的签名匹配，从而证明文件的真实性和完整性。
1、在终端中，导航到您保存安装文件和.asc签名文件的目录。
2、执行验证命令，例如：gpg --verify tor-browser-linux64-13.0.10_en-US.tar.xz.asc tor-browser-linux64-13.0.10_en-US.tar.xz （请将文件名替换为您实际下载的名称）。
3、检查命令输出结果。如果看到 “Good signature from 'Tor Browser Developers (signing key)’” 以及公钥ID，则表示验证成功，文件安全可信。如果出现“BAD signature”或密钥不匹配，则必须立即删除文件并重新下载。
