如何确保下载的联想固件包是原厂的

这两天感谢吧友对我之前帖子的回复，
有的是建议到乐问吧下载固件，有的是叫我到联想社区板块，找固件达人发的帖子。
请问一下，现在想请教，
如何确认和确保我下载的是官方出厂固件？
没有联想官方的说明，也没有SHA哈希值，
现在安卓后门这么猖獗，动不动就窃取隐私和挟持摄像头， 真是怕了这些有后门的第三方ROM，所以想请教一下大家这个问题？