F-Droid （新窗口）是一个 Android 应用商店，仅提供免费和开放源码软件 (FOSS)。这使其成为保护隐私的理想选择，可以替代侵犯隐私的 Google Play 商店。
在本文中，我们将介绍 F-Droid 是什么、为什么要使用它以及如何使用它。我们还会探讨一些关于 F-Droid 的疑虑。
- F-Droid 是什么？
- 为什么要使用 F-Droid？
- 最好的 F-Droid 应用有哪些？
- 如何使用 F-Droid
- F-Droid 仓库
- F-Droid 安全吗？
- 有 F-Droid 的替代品吗？
F-Droid 是什么？
与 Play 商店类似，F-Droid 是一个应用仓库，其中的应用经过精心挑选，均免费提供、不含专有软件并遵循开放源码原则。这意味着应用的源代码是公开的，方便您验证其安全性、隐私功能和各项功能。
F-Droid 由志愿者社区开发和维护，旨在提供一个注重隐私且透明的应用生态系统。您可以从 F-Droid 仓库下载应用，F-Droid 会帮助保持这些应用为最新版本。
这种对 FOSS 的坚持与 Proton 倡导的透明和用户赋权原则相一致，因此 Proton VPN 应用已在 F-Droid 上架（新窗口）。
与 Play 商店不同，使用 F-Droid 无需注册帐户。
为什么要使用 F-Droid？
使用 F-Droid 主要有两大原因。
1. 它不是 Google Play 商店
Google 的整个（且利润丰厚的）商业模式（新窗口）就是尽可能多地了解用户，以便投放高度个性化的广告。
当您从 Google Play 商店下载和使用应用时，Google 会收集大量与您相关的数据。这包括（新窗口）有关您设备的信息、应用的使用方式、使用应用的地点（位置数据）等等。所有这些信息都与您的真实身份绑定，并与 Google 通过其众多其他应用、服务和跟踪器收集的其他信息相结合，
此外，Google Play 商店上的许多应用都集成了第三方跟踪库或软件开发工具包 (SDK)。这些跟踪机制使应用开发者和第三方公司能够收集您在不同应用和网站上的行为、兴趣和使用模式信息。
Android 平台上同样专有的 Amazon Store 也存在类似问题。
2. 开放源码应用
F-Droid 提供了一个易于浏览的开放源码应用精选仓库，其中许多应用在 Play 商店上找不到。当然，开放源码应用也可以在 GitHub 和类似平台上获取（这也是它们开放源码的原因之一），但直接从开发者下载的 APK 文件没有便捷的更新机制。F-Droid 正好提供了这样一种机制。
F-Droid 让查找、安装和更新开放源码 Android 应用变得容易得多。许多人也将使用 F-Droid 视为支持自由和开放源码社区的一种方式。
最好的 F-Droid 应用有哪些？
F-Droid 上有许多优秀的应用，其中很多在 Play 商店上没有。即使某个应用也在 Play 商店上架，从 F-Droid 安装也能将 Google 排除在外。
以下列表绝非详尽无遗，但展示了 F-Droid 上部分优质应用的示例。请注意，Proton VPN 并未正式评测此处列出的任何应用，也绝不为其背书（当然，Proton VPN 除外）。
1. Proton VPN（新窗口） – 由 Proton Mail 开发者推出的瑞士无日志 VPN 服务。您可以在多种 VPN 协议（包括 WireGuard® 和我们的 Stealth 混淆协议）中进行选择，也可以让 Smart protocol 为您选择最佳方案。我们的 Android 应用具备 终止开关、拆分隧道、VPN Accelerator、备用线路（新窗口）、NetShield Ad-blocker 等功能。
2. Fennic F-Droid（新窗口） – 基于 Firefox 最新版本的开放源码浏览器，增加了跟踪保护，并移除了专有组件和遥测功能。Play 商店上没有提供。
3. Droid-ify/（新窗口）Neo Store（新窗口）/Aurora（新窗口） – 非官方 F-Droid 应用，为访问 F-Droid 仓库提供更佳体验。详情见下文。不用说，这些应用在 Play 商店上找不到。
4. Open Camera（新窗口） – 开放源码相机应用，支持 HDR、人脸检测、视频和音频录制、自动稳定等功能。与 Play 商店上的版本不同，F-Droid 版 Open Camera 完全无广告。
5. DuckDuckGo Privacy Browser（新窗口） – 我们已将 DuckDuckGo 从注重隐私的最佳浏览器（新窗口）列表中移除，因为它仅部分开放源码。不过，其 F-Droid 版本是完全开放源码的。
它提供丰富的防跟踪功能，默认强制使用 HTTPS 连接，配有“Fire”按钮，可轻松清除浏览历史，还支持使用生物识别进行锁定和解锁。其较具创新性的功能之一是 Privacy Grade——一份针对各公司服务条款的评分卡。当然，这款应用使用 DuckDuckGo 作为搜索引擎。
但是，它具有独特的指纹（新窗口），且缺乏任何同步功能，这限制了其作为通用浏览器的实用性。
6. OsmAnd +（新窗口） – 开放源码地图应用，使用 OpenStreetMap（新窗口） (OSM) 数据，具有离线地图、实时语音和屏幕导航等功能。它确实不如 Google 地图好用，但也不会跟踪您的行踪。
7. Music（新窗口） – 一款外观精美（遵循 Material 设计）的音乐播放器，带有 Android 小组件，能满足您对本地音乐播放器的所有需求。这款应用可自动下载歌手和专辑封面，允许您编辑歌曲标签和元数据，还配有睡眠定时器等功能。
8. AnySoftKeyboard（新窗口） – 一款支持多语言、手势、表情符号键盘、词典、虚拟按键和语音输入的键盘。与手机默认键盘和大多数商业键盘不同，它不会监视您输入的所有内容。
如何使用 F-Droid
F-Droid 是一个应用仓库。您可以使用官方 F-Droid 应用访问此仓库（以及其他兼容 F-Droid 的仓库——见下文），但许多人更愿意使用非官方的第三方应用。
其中最著名的有 Droid-ify（新窗口）、Neo Store（新窗口） 和 Aurora Droid（新窗口）。您可以在设备上同时运行任意多个此类应用，它们都会就任何 F-Droid 应用的更新向您发出通知。
官方 F-Droid 应用的用户界面相当笨重。它还面向用于 Android 7.1（2016 年发布）的过时软件开发工具包（新窗口） (SDK)，这意味着它缺少较新的安全和隐私改进。
最值得注意的是，使用较旧 SDK 编译的应用沙盒隔离（新窗口）能力较弱（沙盒是 Android 用来隔离应用的安全机制，这样即使应用失效或已泄露，损害也更容易得到控制）。
尽管如此，官方 F-Droid 应用基本能够完成其应有的功能。您可以按类别浏览和安装应用，并在有应用更新时收到通知。
You can update apps manually from with in app, or configure unattended uploads.
F-Droid 还会在应用说明中明确标出反功能，例如广告、跟踪或依赖非自由软件（新窗口）等您可能不喜欢的特性。
非官方 F-Droid 仓库应用提供改进的用户界面，面向最新的 Android SDK，具备便捷的仓库管理功能（见下文）等。下图为 Neo Store，它秉承典型的 FOSS 传统，是 Droid-ify 的一个分支，而 Droid-ify 本身又是同样广受欢迎的 Foxy-Droid（新窗口） 的分支。
F-Droid 仓库
如前所述，F-Droid 是一个应用仓库。此外还有许多与 F-Droid 完全兼容的其他开放源码应用仓库。这些是至少经过所有者一定程度筛选的应用库，可以提供官方 F-Droid 仓库中找不到的有趣应用。
其中大多数直接从其 GitHub 页面获取 APK，因此由开发者进行数字签名。但是，使用第三方仓库的风险需自行承担。
您可以将这些外部仓库（新窗口）添加到官方（新窗口）和非官方 F-Droid 应用中。
广受欢迎的 Guardian Project（新窗口） 仓库专注于隐私和安全应用，现在已默认包含在官方 F-Droid 应用中。IzzyOnDroid（新窗口） 和 Bromite（新窗口） 仓库也口碑良好（但未获 Proton VPN 背书）。
F-Droid 安全吗？
F-Droid 提供了一种便捷的方式来查找、下载和更新开放源码 Android 应用。要进入 F-Droid 仓库，应用会接受恶意软件扫描（使用 VirusTotal（新窗口）），并经过安全检查，以确保符合 F-Droid 的自由软件要求。
不过，这些检查（用 F-Droid 团队自己的话来说（新窗口））只是“基础性的”。就其本质而言，开放源码应用比闭源应用更有可能安全，但这无法得到保证。话说回来，Play 商店上的应用同样无法保证（新窗口）安全。
2020 年 1 月，PrivSec.dev 上发布了一篇（在隐私社区广泛分享的）对 F-Droid 安全多个方面的批评文章（新窗口）。对于认真对待安全的人来说，这份文档值得仔细阅读。其中最严肃的批评可总结如下：
1. 应用由 F-Droid 而非应用开发者签名
在大多数应用商店中，应用由应用开发者签名。而 F-Droid 则从源代码构建所有应用，然后用其自己的密钥进行签名（少量可重现构建（新窗口）可豁免此策略）。
只要您信任 F-Droid 团队，这就具有安全优势，因为它可以防止恶意开发者在其 APK 中添加其 GitHub 页面上不存在的代码。但是，这也意味着您需要信任另一方（F-Droid）。
还应注意，自 2021 年 8 月起，Google 会对 Play 商店上的应用进行签名。
2. 更新缓慢
定期更新非常重要，因为它们通常会修复紧迫的安全漏洞。F-Droid 团队必须审查、构建并签名应用，这意味着从应用更新到更新出现在 F-Droid 上可能会有相当长的延迟。
F-Droid 禁止应用使用专有代码，这使问题更加复杂。结果是许多应用都有不同的 F-Droid 版本以符合这些规则，而这需要额外的时间来维护。
3. 过时的应用
我们已经讨论过官方 F-Droid 应用面向旧版 SDK 的问题（大多数非官方 F-Droid 应用已解决此问题）。不幸的是，F-Droid 仓库本身也存在同样的问题。
这有助于向后兼容（这在 Android 设备上一直是个问题），但也意味着 F-Droid 仓库中充斥着多年未收到安全更新的应用。
您应始终查看计划安装的应用在 F-Droid 上的最后更新时间。此信息可在其下载页面上找到。
那么 F-Droid 安全吗？这取决于您的威胁模型。上述疑虑（以及文章中提出的其他疑虑）确实存在，但对许多人来说，F-Droid 的便利性大于其缺点。
有 F-Droid 的替代品吗？
除了 Play 商店或 Amazon Store 等专有应用商店之外，其实没有。不过，如果您对上述安全问题有所顾虑，还有另一种选择。
您可以直接从开发者的 GitHub 页面手动下载并安装 APK（如果您具备相关技术能力，甚至可以从源代码编译）。然后，您可以使用 RSS 阅读器监控每个应用的 GitHub Releases 页面，以便在有更新时收到通知。
总结
F-Droid 绝非完美，但它仍然为开放源码社区提供了宝贵的服务。这里有数百款优质应用，为商业专有软件提供了出色的注重隐私的替代选择。如果您的威胁模型允许，没有比这更简单的方式来找到适合自己的应用、安装它们并保持其为最新版本。
