大多数隐私建议只是让你改一个设置。而这一条要求你更换手机上的操作系统。这是个不小的要求，所以本指南在讲你得到什么的同时，也会花同样多的篇幅讲你放弃了什么，并且在答案是别费这个劲的时候，会直截了当地告诉你。
GrapheneOS 是一个免费、开源的 Android 版本，由一家专注于安全的非营利组织开发，只能在 Google Pixel 手机上运行。它把 Google 从操作系统中移除，增加了 Android 没有的权限（按应用控制的联网开关、传感器开关、伪装成空的存储和联系人），加固了 Android 中常被攻击者利用的部分，并加入了针对被查扣场景的防御措施：一个会擦除手机的 PIN、自动重启回到完全加密状态，以及在锁定时封锁 USB 端口。安装只需通过网页浏览器，大约二十分钟。
01它究竟解决了什么
罗列功能很容易。更有用的做法，是从手机会让人陷入麻烦的四种方式出发，看看每一种是如何被应对的。
威胁：手机被人从你手中拿走
在检查站、突袭中、边境上。全球各地卖给警察和情报机构的取证提取工具，对付这样一部手机效果最好：处于开机状态，且自启动以来至少解锁过一次。在这种状态下，你的大部分数据已经在内存中解密，操作系统也暴露了大量攻击面。一部已经重启、尚未解锁的手机则是难得多得多的目标：加密密钥根本不在那里。
GrapheneOS 直接针对这一点：
- 自动重启。如果手机在设定时间内未被解锁，它会自行重启，回到那种强加密的解锁前状态。可配置，最短可设为十分钟。早上被没收、下午被送到实验室的手机，到达时是冷的。
- 胁迫 PIN。你设置第二个 PIN 或密码。输入它看起来像一次正常的解锁尝试，实际上会不可恢复地擦除设备——数据分区和 eSIM，方式是销毁密钥。它可以从锁屏界面使用，也可以从设备要求你凭据的任何地方使用。
- USB 端口控制。设备锁定时，端口可以限制为仅充电，或完全禁用。取证工具通常通过 USB 接入。
- PIN 键盘乱序，以及没有指纹回退陷阱。键盘布局可以随机化，这样肩窥者或天花板摄像头就无法得知你的 PIN，而且失败尝试的处理比原生 Android 更严格。
要了解法律风险。在许多司法管辖区，搜查期间故意销毁数据是刑事犯罪，使用它可能把一次设备搜查变成妨碍公务的指控。它是针对特定情况的工具——一种敌对的、非法律的扣押，且其中内容会危及他人——而不是默认选项。提前冷静地决定它是否适用于你，并且绝不要配置一个你可能不小心输入的 PIN。
威胁：你自己手机上的应用
在原生 Android 上，一个能读取你存储空间的应用就能读取全部内容。一个有联系人权限的应用会拿走你整个社交图谱。而且每个已安装的应用都自动拥有互联网访问权限——Android 从来没有过可以拒绝它的权限。
- 网络权限。GrapheneOS 增加了一个。你可以安装一个应用，然后干脆不让它联网——相机应用、PDF 阅读器、元数据清理工具、离线地图。这一个开关就能直接干掉大部分遥测。
- 传感器权限。完全阻止加速度计、陀螺仪、指南针、气压计以及 Android 无需任何权限即可访问的其他传感器。这些传感器足以对设备进行指纹识别，并且根据已发表的研究，还能推断输入内容和移动情况。
- 存储范围。与其拒绝某个应用的存储访问权限然后看着它崩溃，不如告诉它存储是空的，然后逐个授予文件或文件夹。该应用会以为自己拥有完全访问权限，而实际只能看到你选择的内容。
- 联系人范围。对你的联系人使用同样的技巧。一个消息应用可以被展示为只能看到三个人，而不是你的整个通讯录。
威胁：Google 本身
在标准 Android 手机上，Google Play 服务以内置于操作系统中的广泛特权访问权限运行。它无法被真正移除、限制或审计，而且它是一个合法访问目标——Google 会接收并回应地理围栏和账户请求。
GrapheneOS 完全不包含任何 Google 代码。如果你需要 Play Store，可以安装沙盒化 Google Play：普通的 Google 应用，作为普通的非特权应用运行在你选择的任意配置文件中，受上述所有权限约束，包括网络开关。大多数需要 Play 服务的应用都能直接正常工作。Google 得到的和其他任何应用得到的一样：你所允许的内容。
威胁：远程攻击手机的人
雇佣间谍软件，即 Pegasus/Predator 这一类工具，已被反复用于针对该地区的记者和人权工作者。没有手机能免疫。但这些漏洞利用链是针对原厂操作系统构建和测试的，而 GrapheneOS 改变了它们脚下的基础：强化的内存分配器、强化的内核和 libc、更严格的编译器缓解措施，以及积极缩减攻击面。若干有记录的漏洞利用链在它面前意外失败，仅仅是因为漏洞利用所依赖的假设不再成立。
这是将 GrapheneOS 与几乎所有其他自定义 Android ROM 区分开来的技术细节，值得理解。大多数自定义 ROM 要求你保持引导加载程序解锁，这会永久禁用验证启动：手机随后会启动任何人放入其中的任何操作系统，篡改也变得无法检测。GrapheneOS 支持用自己的签名密钥重新锁定引导加载程序，因此完整的硬件信任链保持完好。你既保留了 Pixel 的硬件安全性，又获得了强化的操作系统。你不是在用其中一个换取另一个。
02为什么仅限 Pixel，以及该买哪一款
Pixel 这一要求让人感到沮丧，但这并非偏袒。它源于上面的验证启动这一点。在实践中，Google Pixel 是唯一广泛可得的、允许第三方操作系统用自己的密钥重新锁定引导加载程序并保持完整验证启动和硬件支持证明的手机。它们还配备专用安全元件，并获得长期、可预测的固件支持，而固件是任何操作系统项目都无法替你修复的一层。
Pixel 的安全性取决于其固件更新。Pixel 8 及后续机型自发布起享有七年保证更新；更早的机型支持窗口更短，部分已经结束。购买任何新机或二手机之前，请查看 grapheneos.org 上当前支持的设备列表，运行 GrapheneOS 但已超出支持期的 Pixel 底层仍存在未修补的固件，而这恰恰是最关键的层面。
购买时不留下痕迹
如果你的威胁模型包括有人能证明你拥有一部加固手机，那么购买环节才是薄弱点，而不是设备本身。
- 现金、当面、二手是最干净的方式。付款前检查 IMEI 黑名单状态。
- 不要购买运营商锁定或运营商品牌的库存机，某些运营商版本根本无法解锁以进行安装。
- 手机和 SIM 卡从不同地方购买，最好在不同日期购买。
- 从大型零售商处以现金购买全新未拆封的手机也可以，而且无需担心前机主对它做过什么。
03你放弃了什么
每一份跳过这一节的指南都是在向你推销什么。以下是真实的清单。
| 事项 | 状态 | 详情 |
|---|---|---|
| 非接触式支付 | 不可用 | Google Wallet 的轻触支付无法使用，且预计也不会支持。请随身携带实体卡。这是人们换回原系统最常见的原因。 |
| 银行与政府应用 | 参差不齐 | 大多数应用在沙盒化的 Play 环境中可以运行；部分应用需要它们所期望的权限或设置，例如位置、通知或网络访问。少数应用会在设备完整性检查中直接失败。在依赖之前，请先测试你具体使用的银行应用。 |
| 部分高清流媒体 | 参差不齐 | 某些服务会因 DRM 认证而降至较低分辨率。 |
| 运营商语音信箱与 RCS | 参差不齐 | 因运营商而异。标准通话、短信和移动数据不受影响。 |
| 你的保修 | 视情况而定 | 欧盟和英国的消费者法律通常会保护你；在其他地方，解锁引导加载程序可能被视为使保修失效。无论哪种情况，安装都是完全可逆的。 |
| 不引人注目 | 费用 | 下文有讨论。请阅读。 |
| 日常可用性 | 没问题 | 它就是 Android。界面、Play 商店、你的应用、通知，全都正常。大多数人一周内就不再注意到差别。 |
一部加固过的手机本身就可能招来注意。在检查站，不认识你操作系统的官员可能仅凭这一点就认为你可疑，而在某些地方，运行不寻常的软件会被解读为有东西要隐瞒的证据。
这是真实的取舍，没有普遍适用的答案。有两种缓解措施值得了解：GrapheneOS 在任何人扫一眼屏幕时看起来就像普通的 Android，而且你可以保留一个外观正常、装有普通应用的所有者配置文件，同时把你的敏感工作放在一个单独的、拥有自己加密的用户配置文件中。如果你住的地方设备检查很常见，请仔细权衡这一点，并在检查站指南发布时阅读它。
04安装它
官方网页安装程序可在浏览器中完成全部操作。这是现存最简单的自定义操作系统安装方式，而且用这种方式很难永久损坏一台 Pixel，安装失败可以通过重新开始来恢复。
安装过程会抹掉一切。请先备份你的照片、双重验证器种子以及 Signal 账户迁移数据，并确认你确实能够恢复它们。验证器应用正是人们最容易丢失的东西，如果你的 2FA 验证码只存在于这台手机上，请在开始之前处理好，否则你会把自己锁在自己的账户之外。
-
把官方说明放在眼前
打开 grapheneos.org/install/web，并对照本页一起操作。官方指南具有权威性且会保持更新；本页解释的是背后的理由，以及安装程序不会替你做出的决定。请手动输入网址，不要通过搜索引擎访问，那里有仿冒域名在购买广告。
-
在电脑上使用基于 Chromium 的浏览器
安装程序需要 WebUSB，这意味着要用 Chrome、Edge、Vanadium 或类似浏览器。Firefox 和 Safari 无法使用。请使用质量良好的 USB-C 数据线，手机原装的那根最理想。人们报告的大多数安装失败都是因为数据线不好或集线器不稳定，所以请直接插到电脑上。
-
启用开发者选项并解锁引导加载程序
在手机上：设置 → 关于手机 → 连续点击版本号七次。然后进入设置 → 系统 → 开发者选项 → 启用OEM 解锁和USB 调试。
如果 OEM 解锁呈灰色不可用手机被运营商锁定，或者账户绑定时间太短。请将手机连接到互联网并放置一段时间，或者解决运营商锁的问题。不要强行操作，运营商锁定的 Pixel 可能根本无法安装，这就是上面的购买建议说避免这类手机的原因。
-
运行网页安装程序
按顺序完成页面上的步骤：解锁引导加载程序、下载发行版、刷入。浏览器会要求你选择设备——对话框出现时选择 Pixel。在连接良好的情况下，整个刷机阶段通常需要十到十五分钟。不要拔掉它。
-
重新锁定引导加载程序，不要跳过这一步
安装程序的最后一步。跳过它会让你的手机永久暴露于任何能物理接触设备的人，也等于放弃了使用 GrapheneOS 的主要理由之一。安装程序不会允许你锁定一个损坏的安装，所以如果命令成功，就没问题。
-
确认启动状态
首次启动时，你应该会看到黄色验证启动提示，显示 GrapheneOS 自己的签名密钥，然后是设置向导。黄色配 GrapheneOS 密钥是正确的，也是预期结果。橙色意味着引导加载程序仍处于解锁状态——回去把它锁定。
05第一个小时：真正重要的设置
安装本身已经完成了大部分工作，但默认设置是刻意保持适度的，以免普通人被锁在自己的手机之外。以下这些改动值得立即进行。
-
设置真正的密码短语，而不是 4 位 PIN
这是本页价值最高的一件事。其他所有保护最终都依赖于你的凭据。六个随机单词，或至少八位数字的 PIN。顺便在设置里启用 PIN 乱序输入。
-
开启自动重启并缩短时间
设置 → 安全。选择一个符合你生活情况的时限。如果你身处被查扣风险真实存在的地方，几小时或更短。代价是重启后，闹钟和通知要等你解锁后才会到达，而这正是重点。
-
锁定时限制 USB 端口
设置 → 安全 → USB。至少设为锁定时仅充电；如果能接受，就完全禁用。
-
禁用 2G
旧式2G加密已被破解，IMSI捕获器正是通过强制你的手机降级到2G来运作。GrapheneOS让你可以拒绝。此外还有仅LTE模式。除非你身处确实没有其他信号覆盖的地方，否则请关闭2G。
-
在安装任何东西之前，先决定好 Google 的事
如果你能不用 Play 商店，那就别用——从 F-Droid、Accrescent 或直接从开发者那里获取应用，享受一部没有任何 Google 代码的手机。如果你需要 Play 服务，请从内置的应用仓库安装沙盒化的 Google Play，但要把它放在次要用户配置文件中，而不是你的主配置文件，这样它就被隔离在你的敏感工作之外。
-
让应用在沙盒化的 Google Play 中正常工作
在你想使用某个应用的用户配置文件中打开 GrapheneOS Apps 应用，然后安装 Google Play 服务。它会同时安装 Play 服务和 Play 商店。在该同一配置文件中安装应用：沙盒化的 Play 无法为其他配置文件中的应用提供服务。通过 Apps 应用和 Play 商店保持 Play 服务、Play 商店和应用为最新版本。
如果应用能打开，但登录、通知、地图、购买或后台刷新无法正常工作，在授予其更广泛的访问权限之前，请先检查以下各项：
- 配置文件：确认应用和沙盒化的 Google Play 安装在同一个用户配置文件中。
- 电池：在 Google Play 服务应用设置中，允许其在不受电池优化限制的情况下运行，以便它能够推送后台通知。仅当应用仍然需要时，才对应用执行相同操作。
- 应用权限：只启用失败功能所需的权限——通常是通知、位置、附近设备、相机或文件。从最小范围开始，测试后再仅在必要时添加另一项权限。
- 位置：如果应用需要位置信息，请授予其位置权限。GrapheneOS 默认的位置重定向通常已经足够；只有在普通位置功能确实失败时，才更改 Google 位置设置。
- 更新和重启：更新全部三个组件，强制关闭并重新打开应用，如果更新后应用卡住，则重新安装它。
少数应用会因为要求特定的设备完整性判定而拒绝在 GrapheneOS 上运行。这是应用开发者的限制，而不是缺少权限；不应为了绕过它而削弱任何设置。
-
设置配置文件
独立的用户配置文件有独立的加密密钥。一个实用的划分：
- 所有者，除了设置之外什么都没有。你很少使用它。
- 个人——日常生活、需要时用的 Play 服务、银行、地图。
- 工作——文档、Signal、相机、档案库。没有 Google。
你未登录的配置文件处于休眠状态并已加密。你还可以配置配置文件，使其在你切换离开时自动结束会话。
-
逐个应用审查权限
你安装的每个应用：它需要联网吗？传感器？真正的存储，还是一个只有三个文件的限定范围？默认假设为不需要，当某些功能明显出问题时再开启。这只需花二十分钟做一次，却能永久受益。
-
验证安装是正版
安装 GrapheneOS Auditor 应用，并将其与第二台设备配对，或使用官方认证服务。它通过加密方式确认你的手机运行的是正版、未经修改且引导加载程序已锁定的 GrapheneOS，并能持续验证，这样即使手机离开你的视线后也能检测到篡改。
- 仅从
grapheneos.org下载，手动输入网址 - 重新锁定引导加载程序
- 使用长密码短语
- 保持手机更新——安装是自动且频繁的
- 将不同身份隔离到不同配置文件中
- 在依赖银行应用前先测试它
- 从论坛、Telegram 或 YouTube 链接安装构建版本
- 进行 Root——Root 会破坏你当初选择它的安全模型
- 在敏感配置文件中添加 Google 账户
- 假设它能抵御有针对性的国家行动
- 设置一个你尚未从法律角度考虑过的胁迫 PIN
- 把引导加载程序解锁状态留着“暂时这样”
06它不能保护你免受什么
把这一点说清楚，才能让指南的其余部分值得信赖。
- 网络知道你的存在。你的运营商仍然能看到你连接了哪些基站。蜂窝网络就是这样运作的。只有把手机留在身后才能解决这个问题。
- 你发送的内容仍然会离开设备。发布到平台，或给某个自己手机已被入侵的人发消息，这些都不受你的操作系统保护。
- 你文件中的元数据原封不动。你拍摄的视频仍然带有 GPS 和设备信息，除非你将其剥离。
- 胁迫。如果有人能一直扣押你直到你解锁，没有任何软件能抵抗。
- 固件和基带。蜂窝调制解调器运行自己的专有代码。GrapheneOS 在 Android 允许的范围内将其隔离；它无法替换它。
- 你自己。重复使用用户名、从工作资料登录个人账户，或发布一张带有可识别窗户的照片，都会让这一切前功尽弃。大多数人被识别出来靠的是习惯，而不是漏洞利用。
07人们真正会问的问题
使用它合法吗？
在绝大多数国家，在您拥有的硬件上安装不同的操作系统是合法的，而 GrapheneOS 是一个公开开发的非营利项目。话虽如此，在某些司法管辖区和某些边境，加密或非常规软件无论合法与否都会招致压力。了解您自己的处境。
日常使用困难吗？
不困难。它就是 Android，界面简洁，没有预装的杂乱应用。学习曲线在于权限模型，最多一周就能掌握。真正的麻烦是点击支付和偶尔顽固的应用，而不是操作系统本身。
我能把它恢复成普通的 Android 吗？
可以。Google 发布官方出厂镜像，过程就是反向刷机，最后重新锁定引导程序。这里没有任何操作是永久性的。
为什么不用 LineageOS、/e/OS 或 CalyxOS？
它们有不同的取舍。决定性的问题是验证启动：大多数替代方案需要保持引导程序解锁，这意味着手机可以启动任何东西，篡改无法被检测到。如果您的威胁模型包括任何人获得您设备的物理访问权限——这正是本网站贡献者所面对的威胁模型——那就是一票否决。
CalyxOS 确实支持在 Pixel 上重新锁定，对于想要更温和设置的人来说是一个合理的选择。但它在加固或上述针对查扣的特定功能方面远不及 GrapheneOS。
它会影响电池续航或性能吗？
电池续航通常相同或更好，主要是因为 Google Play Services 不会在后台运行，除非您主动要求。加固的内存分配器在基准测试中会损失几个百分点的性能，在实际使用中察觉不到。
我买不起 Pixel。我该怎么办？
那就做好其余的部分。一部原厂手机配上长密码短语、Signal、谨慎的权限、VPN 和自律的习惯，胜过一部粗心使用的 GrapheneOS 手机。硬件只是一层。行为才是抓住大多数人的那一层，而且它是免费的。一部仍在支持期内的二手 Pixel 也比大多数人想象的便宜。
项目如何获得资金？
作为注册非营利组织，依靠捐款和资助。没有广告，不收集数据，没有厂商交易。源代码公开，构建可复现，这意味着任何人都可以验证发布的二进制文件与已发布的源代码一致。
08来源与延伸阅读
- GrapheneOS — 官方网站 grapheneos.org
- 完整功能与加固列表 grapheneos.org/features
- 官方网页安装器 grapheneos.org/install/web
- 支持的设备与生命周期终止日期，购买前请先查看 grapheneos.org/faq#device-support
- 胁迫 PIN 文档 grapheneos.org/usage#duress
- Amnesty International Security Lab — Pegasus 取证方法论 amnesty.org · 雇佣间谍软件威胁的背景资料
- The Citizen Lab — 持续进行的目标性监控研究 citizenlab.ca
最后审核：2026年9月25日