如何安全評估 APK 來源：安全檢查表
重要的： 官方 Google Play 商店仍然是絕大多數用戶安裝 Android 應用程式的最安全的地方。本文是否推薦、認可或連結至任何第三方 APK 分發網站。它是一個與供應商無關的教育清單，用於評估您擁有的 已經合法取得的 APK 檔案（例如，從您自己的裝置匯出的 APK、從專案的官方發布頁面下載的建置工件或從專案自己的網站下載的開源應用程式）。 切勿從非官方來源下載付費或受版權保護的應用程式。
如果您出於合法原因旁加載 Android 應用程式、安裝開發人員提供的測試版、重新安裝其專案託管自己版本的開源應用程式或恢復您合法擁有的應用程式的備份，則您應始終在安裝之前驗證該檔案。本指南解释了区分值得信赖的 APK 和被篡改的 APK 的技术信号，但没有命名或宣传任何特定的下载平台。
重點
1. 從最值得信賴的來源開始
對幾乎每個用戶來說，答案都是 谷歌應用商店。在那裡分發的應用程式由其原始開發人員簽名，由 Google Play Protect 掃描，並針對惡意行為進行監管。如果 Play 上有您想要的應用程序，請從那裡安裝它，完全停止。
「先玩」規則的合法例外情況很窄：
- 該應用程式是開源的，專案從其自己的官方網站、GitHub 發布頁面或自託管更新伺服器分發簽名版本。
- 您是一名開發人員，正在測試自己的內部版本。
- 您正在恢復從您擁有的裝置匯出的 APK。
- 發布者直接從其官方網域分發特定於區域的或測試版本（您可以確認該網域與開發人員驗證的品牌相符）。
這些情況之外的任何內容，尤其是付費應用程式的「免費」副本，都應被視為高風險，並且幾乎總是侵犯版權。
2. 驗證數位簽名
每個 APK 均由其發布者進行加密簽署。如果文件上的簽名與發布者的已知簽名證書不匹配，則該文件已被更改並且不得安裝。即使注入 APK 的單一惡意位元組也會使簽章無效。
尋找什麼：
- v2/v3/v4簽章方案 存在（現代 Android 需要它）。
- 憑證指紋 (SHA-256) 與開發人員發布的指紋匹配，或與先前安裝的相同應用程式的副本相符。
- 證書為未過期，簽名鏈完好。
您可以使用我們的 APK驗證器 完全離線執行此檢查：將 .apk 拖入，查看簽名憑證和 SHA-256 指紋，並將其與開發人員發布的值進行比較。
3. 比較 SHA-256 雜湊值
SHA-256 雜湊是檔案內容的固定 64 個字元指紋。即使只有一個位元組發生變化，雜湊值也會完全改變。信譽良好的開發人員會在下載時發布每個版本的 SHA-256。
過程：
- 計算您電腦上 APK 的 SHA-256（大多數作業系統都包含 sha256sum 或等效指令；您也可以使用我們的 APK 驗證器）。
- 將其與開發人員在其官方網站上發布的值逐一進行比較。
- 如果值匹配，则该文件与开发人员发布的文件在字节上相同。如果它們不同，請勿安裝。
4. 安裝前檢查清單和權限
Android 的權限系統是您的最後一道防線。在安裝 Play 商店以外的任何內容之前，請使用我們的 APK訊息 工具開啟套件並閱讀清單。注意：
- 權限不成比例。 一個簡單的離線計算器不需要簡訊、聯絡人、輔助服務或裝置管理存取。任何要求遠遠超出其工作要求的事情都是值得懷疑的。
- 無障礙服務濫用。 惡意軟體經常濫用 BIND_ACCESSIBILITY_SERVICE 來代表使用者讀取螢幕內容並點擊按鈕。僅將此權限授予您信任且真正需要它的應用程式（螢幕閱讀器、密碼管理器等）。
- 設備管理員/設備所有者。 幾乎沒有消費者應用程式真正需要這個。如果旁加載應用程式請求它，請停止。
- 包名不符。 如果套件名稱（例如 com.example.app）與正版應用程式的套件不匹配，則該檔案冒充真實產品。
- 不熟悉的導出組件。 匯出且看起來不合適的活動、服務或廣播接收器可能是後門。
5. 不可信來源常見的危險訊號
無論來源是網站、聊天群組還是電子郵件附件，如果您看到以下任何一種情況，都將其視為不可信：
- 付費應用程式的免費副本 或商業應用程式的「進階解鎖」版本。這些都是盜版的，經常被修改，並且經常攜帶惡意軟體。
- “Mod”或“破解”品牌。 根據定義，修改後的 APK 無法通過簽名驗證，並且可能包含修改者新增的任何內容。
- 多個令人困惑的「下載」按鈕 原來是廣告。
- 攻擊性彈出視窗、虛假的「偵測到病毒」警報或強制重定向。
- 沒有 HTTPS。 如果來源不是透過加密連線提供的，您的下載可以在傳輸過程中進行靜默交換。
- 沒有發布者信息，沒有簽名詳細信息，沒有變更日誌。 合法版本擁有所有這些。
- 停用 Play Protect 的壓力 或授予可訪問性/設備管理“以使其工作”。
6.安裝後：密切關注
驗證不是一次性事件。旁加載安裝後：
- 保持 Google Play 保護 啟用。它會定期掃描已安裝的軟體包。
- 留意意外的電池消耗、網路使用或彈出視窗、經典惡意軟體簽名。
- 定期打開 設定 → 應用程式 並檢查您不再使用的任何應用程式；卸載它們。
- 如果应用程序在 Play 商店之外自行更新，请检查新版本的签名是否与之前安装的版本相匹配。不符是緊急情況。
7. 本網站提供（和不提供）什麼
XAPK到APK是基於瀏覽器的文件格式轉換器和檢查器的集合。我們不託管 APK 文件，不連結到 APK 下載網站，也不為盜版提供便利。網站上的每個工具都會處理檔案 在瀏覽器本地，不上傳、不複製、不保留。請參閱我們的 免責聲明 和 隱私權政策 以了解完整詳細資訊。
驗證第三方 APK 下載的黃金規則
旁加載是 Android 平台的合法且強大的功能，但它將安全責任從 Google 的審核人員轉移到了您身上。透過堅持使用官方 Play 商店的付費和消費者應用程式、將側載限制為您已合法訪問的第一方開發人員版本的軟體，並在安裝前驗證每個包的簽名和哈希值，您可以享受這種靈活性，而不會影響安全性或違反法律。