安卓系统允许通过多种渠道安装应用，这种灵活性也意味着用户需要承担更多来源核验责任。未知文件能够被安装，不代表它来自可信发布者。
1. 优先验证发布渠道
先通过可交叉验证的来源确认目标页面和开发者信息。陌生群聊、网盘链接、缩短网址或要求转发才能获得的安装包，都不应直接信任。
查看下载页面的完整域名、证书和更新说明，并比较应用名称、包信息和历史版本是否一致。仅凭相同图标无法判断真伪。
- 不从聊天附件直接安装
- 确认域名没有拼写替换
- 保存版本号与更新时间
2. 下载后检查文件状态
文件名可以被任意修改，因此不能仅靠名称判断。若可信渠道提供文件摘要或签名信息，应在安装前进行比较；如浏览器提示文件可能有害，不要习惯性忽略。
下载过程中频繁跳转、自动下载多个文件或要求先安装“专用下载器”，都可能意味着页面并非预期来源。
3. 安装时逐项查看权限
相机可能用于扫码，通知可能用于安全提醒，但通讯录、短信、无障碍、设备管理和悬浮窗等权限应结合实际功能判断。不给予与功能无关的高敏感权限。
如果应用要求关闭安全扫描、开启未知设备管理或授权远程控制，应立即退出，并删除文件后重新核验。
4. 更新也要沿用可信来源
后续更新应通过与首次安装一致且可验证的渠道完成。突然出现签名不一致、强制下载陌生组件或重新输入全部敏感信息时，应暂停。
完成更新后检查登录设备、通知和权限是否发生变化。对不再需要的权限及时关闭。