侧载，即从官方应用商店以外的来源安装应用程序的做法，自 Android 诞生之初起就一直是 Android 的核心功能。与 iOS 历来限制安装到 App Store 不同，Android 始终让用户可以自由地从他们选择的任何来源安装软件。到 2026 年，侧载仍然与全球数百万用户相关，但您的操作方式以及 Android 的监管方式在此过程中已经发生了很大变化。
接下来是在现代设备上安全执行此操作的实用方面：安装的实际工作原理、如何区分干净的 APK 和被篡改的 APK，以及防止恶意软件侵入您手机的一些习惯。
为什么人们旁加载应用程序
值得从原因开始，因为大多数都是非常普通的。人们出于各种合法目的进行侧载：
- 地区限制： 某些应用程序仅在某些国家/地区的 Play 商店中可用。其他地区的用户可能需要侧载才能访问它们。
- 设备兼容性： Play 商店有时会将应用程序标记为与某些设备不兼容，即使它们工作得很好。侧面加载绕过了这些人为限制。
- 贝塔测试： 开发人员经常将预发布版本分发为 APK 文件，以便在官方渠道之外进行测试。
- 开源应用程序： 许多开源项目直接从其网站或 GitHub 存储库将其应用程序作为 APK 分发，独立于任何应用程序商店。
- 无法访问 Play 商店： 某些设备（例如某些亚马逊平板电脑、中国市场手机或自定义 ROM）不包含 Google Play 服务。旁加载是这些设备上的主要安装方法。
- 较旧的应用程序版本： 有时，应用程序更新会引入错误或删除功能。侧载旧版本可以让您回滚到工作状态。
- 企业分布： 公司通常通过侧面加载向员工分发内部应用程序，而不是在公共应用程序商店上发布它们。
了解未知来源
Android 的“未知来源”设置是侧面加载的看门人。它的实现在 Android 版本中发生了显着变化：
Android 7.1 及更早版本
在较旧的 Android 版本中，“未知来源”是在“设置”→“安全”中找到的单个全局切换开关。启用它允许任何应用程序从任何来源安装 APK。这是一种全有或全无的方法，具有明显的安全隐患，一旦启用，任何应用程序都可以默默地触发安装。
Android 8.0 至今
从 Android 8.0 (Oreo) 开始，Google 用每个应用程序的权限替换了全局切换。每个想要安装 APK 的应用程序都必须单独授予“安装未知应用程序”权限，而不是单个开关。这可以在设置→应用程序→特殊应用程序访问→安装未知应用程序中找到。
这种细粒度的方法更加安全。您可以允许浏览器安装下载的 APK，同时阻止其他应用程序这样做。安装应用程序后，最好撤销源应用程序的权限，直到您再次需要它。
Android 13+ 受限设置
Android 13 引入了一个名为“受限设置”的附加层。从侧面加载源安装的应用程序最初被阻止访问某些敏感权限（例如辅助服务和通知侦听器）。要授予这些权限，用户必须在设置中执行额外的确认步骤。这可以防止恶意软件欺骗用户授予强大的权限。
如何旁加载 APK：一步一步
以下是在现代 Android 设备上侧载应用程序的基本过程：
- 下载APK文件 从合法来源传输到您的设备。它通常会出现在您的下载文件夹中。
- 打开文件。 点击通知栏中下载的 APK 或使用文件管理器查找它。
- 如果出现提示，请授予权限。 如果源应用程序（浏览器或文件管理器）没有安装权限，Android 将提示您授予它。点击“设置”并启用切换。
- 查看安装屏幕。 Android 显示应用程序名称，在旧版本上显示其请求的权限。点击“安装”。
- 等待安装。 系统验证APK、提取文件、优化代码。这通常需要几秒钟。
- 打开或完成。 完成后，您可以立即启动应用程序或返回到您正在执行的操作。
验证 APK 完整性和安全性
侧面加载最重要的方面是确保您正在安装的 APK 合法且未被篡改。以下是您可以使用的验证方法：
检查 SHA-256 哈希值
信誉良好的来源会发布其 APK 文件的 SHA-256 哈希值。在安装之前，您可以计算下载文件的哈希值并将其与发布的值进行比较。如果它们匹配，则文件在传输过程中未被修改。在 Android 上，哈希检查器等应用程序可以计算文件哈希值。在计算机上，使用 sha256sum (Linux/Mac) 或 certutil -hashfile (Windows)。
验证签名证书
每个合法的 APK 都使用开发者的私钥进行签名。通过检查签名证书，您可以确认 APK 是由预期的开发人员构建的。我们的 APK验证工具 允许您上传 APK 并立即查看其签名证书详细信息，包括证书的 SHA-256 指纹。
对于知名应用程序，您可以将证书指纹与开发人员发布的已知良好值进行比较。每个应用程序都使用其开发人员自己的私钥进行签名，并且该签名在应用程序的每次更新中保持一致。因此，如果有人分发的“Google Maps”APK 其证书与官方证书不符，则它不是正版应用程序。
Google Play 保护扫描
即使在侧面加载时，Google Play Protect（如果您的设备上可用）也会在安装前后扫描 APK。它会检查 Google 的已知恶意软件数据库。虽然并非万无一失，但这提供了额外的保护层。您可以在 Play Store → Profile → Play Protect 中手动触发扫描。
检查权限
安装之前，请检查应用程序请求的权限。一个简单的计算器应用程序请求访问您的联系人、相机和短信是一个危险信号。虽然 Android 的运行时权限模型意味着未经您的明确批准，应用程序无法访问这些内容，但过多的权限请求表明该应用程序可能不值得信任。
哪里可以合法获取 APK
从哪里获取 APK 就成功了一半。值得信赖的来源往往分为几类：
- 官方开发者网站： Signal、F-Droid 和 Firefox 等应用程序直接从其官方网站分发 APK。这些是最值得信赖的来源。
- GitHub 发布： 开源项目通常将签名的 APK 作为 GitHub 发布资产发布。您可以验证源代码与二进制文件是否匹配。
- 已建立的存储库： 具有长期跟踪记录、透明政策和社区监督的网站通常比来源不明的网站更安全。
- F-机器人： 专注于免费开源软件的替代应用程序商店。所有应用程序均由 F-Droid 基础设施从源代码构建，为代码包含的内容提供强有力的保证。
需要注意的危险信号
- 要求您在下载前完成调查或点击广告的网站
- APK 文件明显小于或大于应用程序的预期
- 下载内容为包含 APK 的 ZIP 文件（合法的 APK 直接分发）
- 声称免费提供付费应用程序的网站（这些应用程序几乎都是盗版且可能含有恶意软件）
- 具有“update.apk”或“install.apk”等通用名称的 APK
侧载的安全风险
虽然侧面加载本身并不危险，但它确实绕过了应用商店提供的一些保护：
恶意软件分布
最明显的风险是安装伪装成合法应用程序的恶意软件。恶意 APK 可以窃取个人数据、为您订阅高级短信服务、加密您的文件以获取赎金，或使用您的设备进行加密货币挖掘。始终验证来源并检查签名证书。
缺少更新
旁加载的应用程序不会通过 Play 商店自动更新（除非签名证书与 Play 商店版本匹配）。您负责手动检查和安装更新。运行过时的软件意味着缺少安全补丁。
没有 Play 商店保护
Play 商店执行自动安全扫描、策略执行，并为 Google 提供远程禁用已知恶意应用程序的机制。旁加载应用程序绕过所有这些保护。
兼容性问题
从第三方来源获取的 APK 可能未针对您的特定设备进行优化。通用 APK 较大，并且可能包含不必要的资源。 Play 商店中的设备特定 APK 是根据您的硬件量身定制的。
处理不同的文件格式
现代应用程序分发使用除普通 APK 文件之外的多种格式。以下是侧面加载时如何处理每个问题：
XAPK 文件
XAPK 文件将 APK 与 OBB 数据捆绑在一起或拆分 APK。您无法直接安装它们。使用我们的 XAPKS 到 APK 转换器 提取基本 APK，或使用自动处理 OBB 文件放置的专用 XAPK 安装程序应用程序。
APKS 和 APKM 文件
其中包含来自 App Bundle 发行版的拆分 APK。您可以使用 ADB 的 install-multiple 命令、使用我们的 APKS 到 APK 合并 或使用处理拆分 APK 会话的专用安装程序应用程序来安装它们。
AAB 文件
如果您以某种方式获得 AAB 文件，则需要先将其转换为 APK 格式。使用我们的 AAB 到 APK 转换器 或 Google 的捆绑工具生成可安装的 APK。
不同 Android 版本上的侧载
侧载体验因 Android 版本而异。以下是主要区别：
Android 14 和 15
最新的 Android 版本增加了额外的保护。面向旧版 API 级别的应用可能会触发针对旧版 Android 构建的警告。系统还可能完全阻止安装具有非常旧的目标 SDK 版本的应用程序，因为这些应用程序无法从现代安全功能中受益。对于请求敏感权限的旁加载应用程序，受限设置仍然有效。
Android 12 和 13
这些版本完善了每个应用程序的安装权限模型并引入了受限设置。安装确认屏幕得到简化，预先显示的信息较少，但为想要查看权限的用户提供了“更多详细信息”选项。
Android 10 和 11
这些版本中的范围存储更改会影响文件管理器和安装程序访问下载的 APK 文件的方式。由于存储访问限制，某些较旧的安装程序应用程序可能无法在下载文件夹中找到 APK。
Android 8 和 9
这些版本引入了每个应用程序的“安装未知应用程序”权限，取代了全局切换。否则安装流程很简单。
使用 ADB 进行高级旁加载
对于高级用户和开发者来说，ADB（Android Debug Bridge）提供了最灵活的安装方法：
基本安装
通过 USB 连接您的设备并启用 USB 调试，然后运行：
adb install path/to/app.apk
替换现有应用程序
adb install -r path/to/app.apk
安装拆分 APK
adb install-multiple base.apk split_config.arm64_v8a.apk split_config.xxhdpi.apk
降级应用程序
adb install -r -d path/to/older-version.apk
ADB 安装绕过“安装未知应用程序”权限要求和图形确认对话框，从而使开发过程中的重复安装速度更快。
安全侧载的最佳实践
为了最大限度地降低侧载时的风险，请遵循以下准则：
- 仅从您信任的来源下载。 官方开发者网站和已建立的存储库是最安全的。
- 在安装处理敏感数据的应用程序之前，使用我们的 始终验证签名证书 APK验证器。
- 当来源提供时为 检查文件哈希值。任何不匹配都意味着文件已被更改。
- 保持播放保护启用。 它甚至为旁加载应用程序提供了安全网。
- 完成安装后，应用程序中的 撤销安装权限。不要让浏览器永久授权安装 APK。
- 应用程序请求的 审核权限。对请求与其功能无关的权限的应用程序持怀疑态度。
- 保持侧面加载的应用程序更新。 定期检查源是否有安全更新。
- 使用单独的用户配置文件 用于测试不受信任的应用程序。 Android 的多用户功能将应用程序在配置文件之间隔离。
- 备份您的数据 在安装来自陌生来源的应用程序之前。如果出现问题，您可以恢复设备。
- 安装新的旁加载应用程序后为 监控电池和数据使用情况。异常消耗可能表明存在恶意后台活动。
当旁载出错时
如果您怀疑侧面加载的应用程序是恶意的：
- 断开互联网连接 立即（飞行模式）以防止数据泄露。
- 卸载应用程序 通过设置 → 应用程序。如果它拒绝卸载，请启动到安全模式（按住电源按钮，长按“关闭电源”）并从那里卸载。
- 更改密码 适用于您在安装应用程序时使用不同设备访问的任何帐户。
- 运行 Play Protect 扫描 检查是否有任何剩余威胁。
- 如果您无法删除恶意软件或者它获得了设备管理员权限，则为 恢复出厂设置。这是核选项，但保证了一个干净的记录。
旁加载的未来
Android 上的侧载不断发展。谷歌正在添加更多保护措施，但并未完全删除该功能。增强的 Play Protect 扫描、受限设置和目标 SDK 要求等功能默认使侧面加载更安全，同时仍保留用户选择。
欧盟的数字市场法案也可能影响侧载政策，可能要求应用程序分发更加开放。无论监管如何变化，从任何来源安装应用程序的基本能力仍然是 Android 平台的一个决定性功能。
现代 Android 上值得关注的关键侧载变化
侧载仍然是 Android 与更多锁定平台的区别之一。多年来，在每个应用程序安装权限、Play Protect 扫描和任何人都可以使用的证书检查工具之间，该过程已经悄然变得更加安全。作为回报，它要求你稍微关心一下：知道文件来自哪里，检查签名，浏览权限，并留意你安装的内容。
坚持这些习惯，您将获得两全其美的好处：可以自由地安装您想要的任何内容，而无需将您的设备和数据交给上传文件的人。