F-Droid 近日批评谷歌安卓开发者验证机制，认为该机制可能增加开源应用分发和用户安装的复杂度。围绕应用安全、身份验证、侧载体验和开源生态自治，企业在软件供应链治理中也需要重新审视安全控制与开放协作之间的边界。
今日技术观察 IT之家 7 月 4 日消息，开源应用仓库 F-Droid 于 7 月 1 日发布博文，抨击谷歌推行的安卓开发者验证机制，称其为：“伪装成看似无害进程的病毒”。IT之家注：安卓开发者验证（Android Developer Verification，简称 ADV）是谷歌推出的身份认证机制，要求安卓应用开发者提供有效信息（如政府 ID 或企业资质）完成注册，通过验证的应用才能被正常安装。该验证机制主要是为了在源头遏制恶意软件，强化生态安全 01 背景速览 背景速览：据报道，开源安卓应用仓库 F-Droid 于 7 月 1 日发布博文，批评谷歌推进的 Android Developer Verification 机制。该机制要求安卓应用开发者完成身份或资质验证，未通过验证的应用在安装时会面临更多限制。谷歌方面的目标是减少匿名发布恶意软件带来的安全风险，同时为个人开发者和普通用户设置了有限分发账户、高级绕过流程等例外路径。 02 趋势影响 趋势影响：这场争议的核心并不只是“是否需要安全验证”，而是安全规则由谁制定、如何执行，以及对非官方应用分发渠道会产生多大影响。F-Droid 认为，许多 Play 开发者应用并非主动选择加入验证体系，而是受商店协议影响被纳入；同时，F-Droid 分发的应用在安装时可能需要用户完成更复杂的步骤，从而影响开源应用的触达效率和使用体验。 03 企业应用启发 企业应用启发：对企业数字化和软件开发团队而言，这一事件提醒我们，应用分发和软件供应链管理正在从“代码可信”扩展到“身份可信、渠道可信、流程可信”。无论是移动应用、内部工具还是开源组件引入，企业都需要建立清晰的来源审查、构建验证、权限评估和版本追踪机制。F-Droid 强调公开构建和审查流程，也为企业评估开源软件可信度提供了一个可参考方向。 04 合规观察 合规风险提醒：在网络安全治理中，开发者实名、权限管控和恶意软件识别有其合理性，但规则定义过宽或流程不透明，也可能带来合规和生态风险。F-Droid 对 Android Developer Console 条款中“恶意软件”定义提出质疑，并提到广告拦截类过滤工具曾面临 Google Play 排除或分类争议。企业在制定内部安全策略时，应避免仅依赖单一平台判断，还需结合业务场景、法律要求和技术证据进行评估。 05 开放讨论 开放讨论问题：对于企业来说，移动应用安全是否应优先采用平台统一验证机制，还是保留更多面向开源和内部应用的例外空间？当安全验证增加安装摩擦时，企业该如何在用户体验、风险控制和软件自由度之间取舍？如果允许用户或组织预先选择可信策展方、认证机构，是否能成为兼顾安全与开放生态的一种可行路径？ 公开来源参考 F-Droid 抨击谷歌安卓开发者验证机制：看似无害的病毒