问题描述
询问 TWRP 在刷机前会检查什么样的签名，以及与厂商预装恢复分区中的校验机制有何不同。例如近期 LineageOS 开始对自身构建进行数字签名，但 TWRP 却无法验证这些签名。因此，本问题旨在澄清 TWRP 的验证机制，并探讨在使用 TWRP 刷入第三方固件时的注意事项。
解决方案
请注意，以下信息基于 TWRP 当前版本（建议查阅最新版官方文档或源码获取最新的安全检查策略）。
方案1：TWRP 验证机制详解
校验摘要：
根据当前版本 TWRP 的实现，在刷入文件之前通常会执行几个基本的检查步骤。具体而言，TWRP 主要依赖两个方面来确保所刷入文件的安全性和完整性：
MD5 校验：若在刷入文件中包含有效的 MD5 校验值，则 TWRP 会在刷入过程中对比实际文件内容与预设的校验值。此功能可通过 TWRP 的 GUI 设置界面手动开启或关闭。
兼容性检查：TWRP 检查所刷入文件格式是否与其预期支持的文件类型一致。如果所刷入的是厂商特定格式的镜像（如 GMS、加密映像等），需要确保只使用相应恢复分区来刷入这些内容。例如，某些原始设备制造商 (OEM) 使用与官方复原分区对应的加密镜像，因此 TWRP 可能不允许从 TWRP 刷入此类文件。
处理 LineageOS 签名问题：
由于 LineageOS 开始使用私钥签名其构建版本，而 TWRP 无法直接验证这些签名的真实性，可采取以下措施解决这一问题：
手动导出和导入签名：LineageOS 构建者可以在其公开资源中披露相应的公钥（如 .p7b 格式），让用户将其导入到 TWRP 的信任仓库。
使用第三方工具：有些开发者会为特定设备创建一个自定义的刷入环境，该环境预先集成了 LineageOS 的公钥。这样在 TWRP 中导入相应的密钥后，便可以直接验证并安装经过 LineageOS 签名的刷包。
保持 TWRP 设置灵活：许多用户反馈默认情况下 TWRP 会跳过签名检查过程以提高便利性。然而，从安全角度考虑，可以选择开启 “强制 MD5 校验” 功能，并结合上述方法进行手工验证。
方案2：使用 OEM 原版镜像
对于特定情况下希望通过 TWRP 刷入厂商官方的原始系统镜像（如 GMS 服务、加密分区等），建议遵循以下操作指导：
检查官方文档：查阅设备制造商对于该款设备提供的官方刷机文档，以确认所需的恢复图像或镜像文件格式。
启用 OEM 模式：确保在 TWRP 中激活 OEM（原始设备制造）模式，这可能会允许从某些厂商的预装复原分区中加载加密内容。开启此功能前请务必确认已获取 OEM 启用权限以保证刷入过程的安全。
信任签名密钥：如遇官方图像经特定密钥签名但 TWRP 无法验证的情况，可向制造商咨询其信任签名密钥的格式及导入流程，并遵照指南添加密钥到 TWRP 信任仓库中。
总结而言，在使用 TWRP 进行非官方刷机时需谨慎处理文件来源和类型。务必确保所选择的刷包来自信誉良好的开发社区或官方渠道，并利用 TWRP 的签名验证功能来增强系统安全性与完整性。
通过以上方案，用户可以更好地理解和应对在不同环境下使用 TWRP 时可能存在的复杂性；同时也能避免由于误解其工作原理而招致潜在风险。建议定期关注相关官方公告和教程，以获取最新版本的安全策略和技术更新信息。