谷歌详解侧载未验证安卓应用的新24小时流程
Hacker News 摘要原标题：Google details new 24-hour process to sideload unverified Android apps
谷歌计划在2026年对安卓系统进行重大调整，旨在打击整个设备生态系统中的恶意软件。从2026年9月开始，谷歌将通过开发者验证计划限制应用程序的侧载。为了回应权力用户的反馈，谷歌推出了名为进阶流程的新机制，允许用户跳过开发者验证，但过程非常繁杂。
开发者验证制度
根据新规定，安卓手机将默认只安装来自经过验证的开发者的应用。如果开发者想在谷歌应用商店之外发布应用，必须提供身份证明、上传签名密钥副本并支付25美元的费用。未经验证的开发者所发布的软件包将无法直接安装，除非用户手动开启进阶流程。
进阶流程的具体步骤
进阶流程被隐藏在开发者设置中，谷歌不会主动向普通用户展示。开启该功能需要执行以下步骤：
1. 在关于手机界面连续点击软件版本号七次，启用开发者选项。
2. 进入系统设置中的开发者选项，找到允许未验证软件包选项。
3. 开启开关后，点击确认自己并未受到威胁或强迫。
4. 输入设备的解锁密码或图案。
5. 重启设备。
6. 等待24小时。
7. 安全等待期结束后，回到未验证软件包菜单。
8. 跳过额外的警告，选择临时允许（七天）或无限期允许。
9. 勾选确认框，表示了解相关风险。
10. 此时在安装应用时，点击软件包安装程序中的仍然安装即可完成操作。
强制等待24小时的原因
谷歌安卓生态系统总裁 Sameer Samat 表示，设置24小时倒计时是为了应对日益增多的高压社交工程攻击。在这种诈骗中，骗子会恐吓受害者立即安装某些应用以避免严重后果。24小时的缓冲时间可以让受害者有足够的时间冷静下来，核实家人是否真的出事或银行账户是否真的被攻击。
一旦用户在某台手机上选择了无限期允许，后续就不需要再次等待，即使关闭开发者选项，该权限也会保留。
谷歌对安全与开放的立场
谷歌认为，对于全球许多人来说，手机是他们唯一的计算设备，存储着极其隐私的信息。如果平台不够安全，用户就会流失。
关于验证内容，谷歌强调他们并不关心应用的功能，也不会主动检查应用内容。验证的核心在于身份核实，以确保开发者不是冒名顶替者。如果验证过的开发者分发恶意软件，其资格将被取消。
在谷歌看来，恶意软件是指在用户不知情的情况下对设备或数据造成伤害的包。如果你为了获取根权限而主动下载 Root 工具，或者下载能跳过广告的第三方 YouTube 客户端，只要这是你的意愿且没有造成预想外的伤害，就不属于被封禁的恶意软件。
隐私与地区差异
隐私倡导者担忧验证制度会建立一个清单，使独立开发者面临法律风险。谷歌表示会拒绝不合理的司法调取请求，并暗示不打算建立一个永久性的开发者身份数据库。
针对受制裁国家（如古巴、伊朗）的开发者可能无法支付验证费用的问题，谷歌称验证过程会根据国家/地区有所不同，并非为了限制这些地区的开发者。
推出时间线
该制度将于2026年9月首先在巴西、新加坡、印度尼西亚和泰国强制执行，因为这些地区的冒充诈骗非常普遍。明年将扩展到全球。进阶流程将在正式强制执行前上线。
验证程序已集成在2025年发布的安卓 16.1 系统中。最终，所有目前受支持的安卓设备都将获得验证器和进阶流程界面。无论手机制造商是谁，这些安全警告和操作流程都将保持一致。