「极速清理大师」在老周手机上重复申请通讯录权限
老周是楼下修车铺的，装完它三天后接到两个贷款电话，号码精准到他的车牌尾号。
上周三晚上十点半，我拿着一台旧安卓机去装朋友发来的十个安装包，结果一个都没装上——系统全弹了「禁止安装，存在风险」。我干脆坐下来，把它们一个个拆开看。
老周是楼下修车铺的，装完它三天后接到两个贷款电话，号码精准到他的车牌尾号。
拆包看到它启动时请求一个没有域名备案的服务器，返回的是一段混淆过的脚本。
一个放照片的 app 要短信权限，我在测试机上点了允许，五分钟后收到一条陌生登录提醒。
它把 8.8.8.8 换成了自己的解析地址，所有流量先绕去一台位于阿姆斯特丹的机器。
官网上是 2024 年签的证书，这个包是 2025 年 11 月重新签的，中间换过手。
我用抓包工具数了一下，一小时 118 次，内容包含我刚复制的一条快递单号。
其中一个 SDK 会静默安装其他包，我朋友小许的旧机就是这么多出两个陌生图标的。
它做了个图文教程，第一步就是让你去设置里把安全开关关掉，还配了个「放心，没事」的提示。
里面连公司名都没改干净，还留着「XX 科技保留最终解释权」这种句子。
一个看天气的，要看我手机里装了什么。它的理由是「用于优化推送」，我没被说服。
说实话，写到这儿我有点失望。这十款 app 里有八个在别人的推荐群里被夸过「好用」「免费」「没广告」，其中一个还是我半年前真心喜欢过的记账工具。那天晚上十一点四十，我坐在阳台的小板凳上，把第十个包拖进隔离区，忽然觉得系统那行冷冰冰的「禁止安装」其实挺温柔的——它替我省掉了后面一连串要自己收拾的麻烦。
但我也得承认，拦截不是万能的。
比如第 05 号那个返利 app，它一开始装上了，用了两周才被我发现签名不对。系统没拦住它，是因为它借用了正规渠道的壳。第 09 号记账本也是，权限开得规规矩矩，唯独政策文本是抄的——这种东西没有哪台机器帮你判断，只能自己一行行读。所以「十款 app 禁止安装有风险」这句话，我现在的理解是：被拦下的是十款，被拦下只是开始，真正的风险判断还得落在人身上。
我的观点可能有点刺耳：大部分用户根本不需要侧载自由，他们需要的是一个敢替他们说「不」的系统。市面上总有人把「禁止安装」说成束缚，可我翻完这十个包之后，反而希望那道提示再啰嗦一点，最好能把「它要读你的短信」直接写在弹窗第一行。自由是给懂的人的，对不懂的人，自由就是入口。
我叫叶子，白天在一家做企业软件的小公司写文档，晚上回来鼓捣这台旧安卓机，拆安装包、抓包、看权限清单，纯属个人爱好。
这个站叫「十款app禁止app安装有风险」，名字起得有点拗口，是我 2024 年冬天随手敲的，当时刚被一个伪装成计算器的包坑过，气不过就建了站。
我不做评测排名，也不接推广。我写的东西大多是「这个 app 到底想干嘛」这种笨问题，写得慢，更新也慢，但每一条都自己装过、拆过、记过。
如果你也在旧手机里翻出过奇怪的安装包，欢迎丢给我，我有空就拆。
“安装一个 app，本质上是把你的手机借给它用一会儿。问题在于，很多 app 借了就不打算还。”—— 摘自 2025 年 3 月《读库 2501》里一篇讲手机安全的随笔，作者署名「林一舟」，第 118 页