简短回答
- 官方安装包只来自 GitHub（storytold/photocraft）和开发者在 getartcraft.com 上的页面。
- Windows 安装包和程序都有代码签名；macOS 应用和命令行工具用 Developer ID 签名，并经过 Apple 公证。
- 每个版本都附带 SHA256SUMS.txt，可以证明你下载的文件没被改过。
- 源代码公开，任何人都能检查软件做了什么。
- 它还是早期 alpha 版，可能崩溃或渲染出错。重要文件记得备份。
小心山寨和过期的下载站
PhotoCraft 火起来没几天，就冒出了一批下载站和仿冒域名。有的只放旧版本，有的可能把安装包和广告软件捆在一起。仓库只把 GitHub 和 getartcraft.com 列为官方渠道，其他网站都算第三方，包括域名里带 photocraft 的网站，也包括本站。本站只链接官方文件，从不自己托管安装包。
- PhotoCraft 是免费的。要你付钱、给你“专业版”激活码或“破解版”的都是骗局。
- 官方文件名类似 photocraft-0.7.0-windows-x64.msi。名字不一样的 .exe“下载器”或安装程序要提高警惕。
- 官方 Windows 下载只有 .msi 和便携版 .zip，不会是一个很小的 .exe。
怎么核对下载的文件
从同一个 GitHub Release 下载 SHA256SUMS.txt，把里面对应文件的那一行和你电脑上算出来的校验值对比：
# Windows (PowerShell)
Get-FileHash .\photocraft-<version>-windows-x64.msi -Algorithm SHA256
# macOS
shasum -a 256 photocraft-<version>-macos-universal.dmg
# Linux
sha256sum -c SHA256SUMS.txt --ignore-missing检查签名
Windows 上，右键 .msi › 属性 › 数字签名，应该能看到签名。如果没有这个选项卡，不要运行。
macOS 上，官方 DMG 打开时不会弹 Gatekeeper 警告。命令行工具可以用 spctl --assess --type install -vv photocraft-cli 检查，结果应该是 “accepted, source=Notarized Developer ID”。
打开陌生人发来的 PSD 和图片
项目自己的安全策略提醒：PSD、PSB、.pcraft、各种图片、色彩配置文件、LUT 和嵌入内容都应该当作可能有恶意的文件。它的解析器做过加固和模糊测试，但和所有复杂的文件解析器一样，仍然是攻击面。来路不明的文件要小心，存有敏感数据的电脑尤其如此。
隐私
PhotoCraft 不需要账号，可以离线使用。“选择主体”等智能选区功能在你自己的电脑上运行，不走云端。
自动化和 MCP
如果让 AI 智能体通过 MCP 操作 PhotoCraft，它只能读写你用 --automation-read-root 和 --automation-write-root 授权的文件夹。桌面版的控制通道只监听本机回环地址，并且需要密钥令牌。开发者提醒不要把这两者暴露给不可信的网络或中转服务。
用它合法吗
PhotoCraft 自称是“净室”重写：依据公开规范和对软件行为的观察编写，不含 Adobe 的代码、着色器和素材。它以 MIT 或 Apache-2.0 许可证发布，提到 Adobe 商标只是为了说明兼容性。使用它不花钱，也不需要 Adobe 授权。
常见问题
PhotoCraft 是病毒吗？
不是。官方版本开源，Windows 版有代码签名，macOS 版经过公证。杀毒软件报警通常来自非官方的二次打包版本，删掉后从 GitHub 重新下载。
为什么 Windows SmartScreen 会警告？
SmartScreen 也会看一个文件被多少人下载过。刚发布的版本即使有签名也可能触发提示。运行前检查数字签名和 SHA-256 校验值即可。
photocraft.one（或 .im、.wiki）是官网吗？
GitHub 仓库只把 getartcraft.com/apps/photocraft 列为官网。其他带 PhotoCraft 名字的域名，包括本站，都是第三方网站。
PhotoCraft 会收集我的图片吗？
它不需要账号，AI 辅助选区也在本地运行。除非你自己分享，文件都留在你的电脑上。
发现 PhotoCraft 的安全问题怎么报告？
按 GitHub 仓库里的 SECURITY.md 操作：私下联系维护者，不要在公开 issue 里贴可用的漏洞利用代码或恶意样本文件。