调研日期: 2026-02-17
适用场景: Secure Android Sandbox 项目 — 为系统分身选择安全可信的应用获取渠道
目录
- 一、开源/替代应用商店
- 1. F-Droid
- 2. Aurora Store
- 3. APKPure
- 二、中国厂商应用商店
- 4. OPPO 软件商店
- 5. 华为 AppGallery
- 6. 小米应用商店
- 7. vivo 应用商店
- 三、国际平台/厂商应用商店
- 8. Google Play Store
- 9. Samsung Galaxy Store
- 综合对比表
- 安全沙箱环境建议
一、开源/替代应用商店
1. F-Droid
| 属性 | 说明 |
|---|---|
| 运营主体 | F-Droid Limited（英国注册非营利组织），社区志愿者驱动 |
| 开源 | 完全开源（GPL-3.0），客户端/构建服务器/元数据仓库均可审查 |
| 账号要求 | 不需要，完全匿名使用 |
| 广告 | 无 |
| 中国大陆可用性 | 需翻墙访问 f-droid.org |
应用审核机制（业界最严格）:
- 所有应用必须 100% 自由/开源软件（FOSS），禁止专有依赖（Google Play Services、Firebase 等）
- F-Droid 官方服务器自行编译并签名发布应用（不使用开发者原始签名）
- 可复现构建（Reproducible Builds）: 独立验证服务器重新构建 APK，逐字节比对官方发布版本，证明二进制与源代码严格对应
- 2024 年覆盖率约 30%，IzzyOnDroid 仓库 2025 年超过 42%
- 反特性（Anti-Features）标签: 标记含广告、非自由网络服务、已知漏洞的应用，用户知情选择
- 人工审查许可证文件、构建脚本、非自由资产及二进制 blob
隐私保护: 极高
- 政策禁止所有专有遥测和广告 SDK
- 客户端不内嵌第三方分析框架
- 无账号、无追踪
APK 修改风险: 极低
- 使用自有密钥签名 ≠ 篡改内容（可复现构建机制可验证）
- 部分应用（如 Signal）因签名差异拒绝通过 F-Droid 分发
注意事项:
- 志愿者运营导致审查/更新速度慢，元数据可能落后于上游
- 如 F-Droid 构建服务器被攻击，将影响所有用户（可复现构建正是为此设计）
- 仅收录免费软件，无付费应用
- 仓库中尚未发现经证实的恶意软件分发案例
2. Aurora Store
| 属性 | 说明 |
|---|---|
| 运营主体 | 开源社区项目（主开发者 whyorean），托管于 GitLab (AuroraOSS) |
| 开源 | 完全开源（GPL-3.0） |
| 账号要求 | 可选（匿名模式推荐） |
| 广告 | 无 |
| 中国大陆可用性 | 不可用（依赖 Google Play API，被 GFW 封锁） |
核心定位: Google Play 的开源替代前端
Aurora Store 不是独立商店，而是通过逆向工程的 Google Play API 访问 Google 应用目录。应用审核完全依赖 Google Play 的机制。
匿名登录机制:
- 通过令牌分发服务器（auroraoss.com）创建临时 Google 账号
- 仅向 Google 暴露请求的包名，不关联个人邮箱/手机号
- 支持 TLS 证书固定，防止中间人攻击
- 整合 Exodus Privacy / Plexus 展示应用追踪器信息
APK 修改风险: 无
- 直接从 Google Play 服务器下载原始 APK，签名与官方完全一致
注意事项:
- 匿名令牌可能被 Google 批量封禁，导致登录失败（已多次发生）
- 令牌服务器是单点故障
- Google 仍可通过 IP + 请求包名进行关联分析
- 权限请求较宽泛（
MANAGE_EXTERNAL_STORAGE、QUERY_ALL_PACKAGES） - 无法购买付费应用（匿名模式下）
3. APKPure
| 属性 | 说明 |
|---|---|
| 运营主体 | APKPURE PTE.LTD（香港注册，实际运营中心在中国） |
| 开源 | 闭源 |
| 账号要求 | 不需要 |
| 广告 | 有（较激进） |
| 中国大陆可用性 | 可访问 |
应用审核: 非常薄弱
- 声称验证 APK 原始签名，但无强制安全扫描、行为分析或沙箱测试
- 任何开发者可提交 APK，审核门槛极低
- 允许分发已被 Google Play 下架的历史版本
APK 修改风险: 高（有确凿历史案例）
2021 年重大安全事件: APKPure 客户端本身（v3.17.18）被植入 Triada 木马的恶意广告 SDK，可在 Android 6/7 设备上下载安装额外恶意模块（包括 xHelper，可在恢复出厂设置后持续存在），收集 IMEI、Android ID。该恶意版本通过 APKPure 官方渠道分发（Kaspersky 披露）。
- 平台长期作为 Joker 木马、BadBazaar（APT15 关联间谍软件，针对维吾尔族/藏族人群）、Moonshine 间谍软件的分发渠道
- 托管被重新打包的热门应用（如植入恶意代码的 Signal、Telegram 变种）
安全评级: 极低，强烈不推荐在安全敏感场景下使用
二、中国厂商应用商店
共性问题
中国厂商商店普遍存在以下特征：
- 闭源: 审核规则/安全机制均不公开
- 深度遥测: 系统级数据采集默认开启，即使禁用权限仍通过系统组件上报
- APK “特供版”: 通过云控/动态加载可绕过初次审查，部分应用被注入额外 SDK
- 广告/推广: 首页推广位、付费应用混排、开屏广告普遍
- 合规导向: 满足工信部/网信办监管要求，但对用户隐私保护透明度低
- 账号绑定: 部分功能需厂商账号
4. OPPO 软件商店
| 属性 | 说明 |
|---|---|
| 运营主体 | OPPO 广东移动通信有限公司（BBK 集团） |
| 安全系统 | “智能护盾” — 静态特征检测 + 动态行为分析 + 云端检测 |
| 隐私保护 | 低至中 — ColorOS 深度集成遥测框架 |
特别说明（与本项目直接相关）:
- ColorOS 系统级遥测无法完全关闭
- 对 DexClassLoader 动态加载的检测存在盲区
- 2023 年智能护盾白皮书承认仍有大量不合规应用通过云端动态更新绕过审查
5. 华为 AppGallery
| 属性 | 说明 |
|---|---|
| 运营主体 | 华为终端有限公司，全球第三大应用分发平台 |
| 安全系统 | SecDroid — 静态审计 + 沙箱动态执行 + 恶意 SDK 库比对 |
| 隐私保护 | 中（欧洲市场较透明，但存在地缘政治担忧） |
重大安全事件:
2021 年 Cynos 木马事件: Dr.Web 发现约 190 款游戏（涉及近 1000 万台设备）含 Android.Cynos.7.origin，通过 AppGallery 官方渠道分发。可收集短信、通话记录、设备标识符，下载额外恶意模块。
- HMS Core 要求替换 Google API → AppGallery 应用与 Google Play 版本存在代码差异
- 强制华为账号绑定
6. 小米应用商店（GetApps）
| 属性 | 说明 |
|---|---|
| 运营主体 | 小米通讯技术有限公司 |
| 安全系统 | 依赖第三方引擎（360/卡巴斯基），技术审查细节极不透明 |
| 隐私保护 | 低 — 多次因遥测问题受国际批评 |
已知隐私问题:
- 2020 年: MIUI 浏览器隐私模式下仍收集并上传浏览历史（含搜索内容）
- 广告 SDK 广泛嵌入第三方应用
- 系统级数据采集默认开启
- MIUI 广告推送覆盖面广（锁屏、商店推荐、系统通知）
7. vivo 应用商店
| 属性 | 说明 |
|---|---|
| 运营主体 | 维沃移动通信有限公司（BBK 集团，与 OPPO 同系） |
| 安全系统 | 自动化安全扫描 + 审核规范要求权限最小化声明 |
| 隐私保护 | 低至中 — 遥测特征与 OPPO 类似 |
- 审核规范的公开透明度略高于小米
- 对云端动态更新监控不足，特供版仍可绕过
- 与 OPPO 共享 BBK 集团背景，安全/隐私风险性质相似
三、国际平台/厂商应用商店
8. Google Play Store
| 属性 | 说明 |
|---|---|
| 运营主体 | Google LLC (Alphabet) |
| 开源 | 闭源 |
| 账号要求 | 必须 Google 账号 |
| 广告 | 搜索结果含付费推广 |
| 中国大陆可用性 | 不可用（GFW 封锁） |
审核机制（商业商店中最完善）:
- Bouncer 预发布扫描: 静态分析 + 动态沙箱 + ML 分类器
- Play Protect: 设备端持续扫描（每日约 2000 亿次），覆盖所有已安装应用（含旁加载）
- 实时威胁检测: 可触发云端代码级扫描
- 数据安全表单: 强制开发者声明数据收集/共享情况
- 2023 年封禁 33.3 万开发者账号，下架 228 万违规应用
APK 修改风险: 低
- 不修改 APK 内容，但 Google Play App Signing（2021 年后默认）意味着 Google 持有签名密钥
隐私的两面性:
- 对开发者的隐私要求高（数据安全表单、Play Protect）
- 但 Google 自身采集设备 ID、广告 ID、位置、已安装应用列表用于广告定向
- 数据安全表单基于开发者自我申报，研究发现大量虚报
9. Samsung Galaxy Store
| 属性 | 说明 |
|---|---|
| 运营主体 | 三星电子（韩国） |
| 开源 | 闭源 |
| 账号要求 | 需三星账号 |
| 广告 | 少量（推荐位为主，比 Google Play 少） |
| 中国大陆可用性 | 部分可用（三星在华有合规运营） |
审核机制:
- AI 驱动威胁检测 + 传输加密
- 2025 年 9 月起引入”数据安全”标签
- “Project Infinity” 计划：旗舰设备最长 7 年安全更新
已修复的重要漏洞:
- CVE-2023-21433（权限提升）+ CVE-2023-21434（域名白名单绕过）：曾允许攻击者在无用户确认情况下安装任意应用
APK 修改风险: 极低
- 不修改开发者提交的 APK
局限:
- 应用数量远少于 Google Play（约 50 万 vs 300 万）
- 对开发者审查严格度低于 Google Play
- 定位为三星设备生态的补充渠道
综合对比表
| 商店 | 开源 | APK 修改风险 | 隐私保护 | 需账号 | 广告 | 中国可用 | 安全场景推荐度 |
|---|---|---|---|---|---|---|---|
| F-Droid | 全开源 | 极低 | 极高 | 否 | 无 | 需翻墙 | ★★★★★ |
| Aurora Store | 全开源 | 无 | 高 | 可选 | 无 | 需翻墙 | ★★★★☆ |
| Google Play | 闭源 | 低 | 中 | 必须 | 有 | 不可用 | ★★★☆☆ |
| Samsung Galaxy Store | 闭源 | 极低 | 中 | 必须 | 少 | 部分 | ★★★☆☆ |
| OPPO 软件商店 | 闭源 | 中 | 低-中 | 部分 | 有 | 完全 | ★★☆☆☆ |
| 华为 AppGallery | 闭源 | 中高 | 中 | 必须 | 有 | 完全 | ★★☆☆☆ |
| vivo 应用商店 | 闭源 | 中 | 低-中 | 部分 | 有 | 完全 | ★★☆☆☆ |
| 小米应用商店 | 闭源 | 中 | 低 | 部分 | 激进 | 完全 | ★☆☆☆☆ |
| APKPure | 闭源 | 高 | 低 | 否 | 有 | 可用 | ☆☆☆☆☆ |
安全沙箱环境建议
基于本项目的威胁模型（OPPO Reno9 / ColorOS 15 系统分身），应用获取策略按优先级排列：
首选: F-Droid
- 用于安装开源工具链（Termux、NetGuard、Shelter 等）
- 无账号、无广告、可验证来源
- 配合 IzzyOnDroid 仓库扩大覆盖范围
次选: Aurora Store（匿名模式）
- 用于 F-Droid 中没有的应用（如某些闭源但必要的工具）
- 全程不登录 Google 账号
- 需配合代理使用（依赖 Google Play API）
仅限主系统: 中国厂商商店
- OPPO 软件商店等仅用于主系统安装实名合规应用（银行、支付等）
- 绝不在系统分身中使用
绝对禁止: APKPure
- 有恶意软件分发历史，与国家级 APT 组织关联
- 任何场景下均不推荐
APK 来源验证原则
所有非 F-Droid 来源的 APK，安装前应：
# 校验 APK 签名
apksigner verify --print-certs <apk_file>
# 与官方发布的证书指纹比对
# 确保签名者证书 SHA-256 与开发者官网公布的一致
本文档基于公开信息整理，部分数据引用自 Kaspersky、Dr.Web、GrapheneOS 社区等安全研究来源。