11 月 9 日晚，移动智能终端生态联盟发布公告，OPPO、vivo、小米、荣耀在中国大陆上线 Android 侧载应用开发者身份验证（ADV），四家结果互认。 从官网、群、论坛直接下载的安装包，如果开发者没做登记，装的时候会弹一句“未验证”，要手动确认才能继续。微博小红书
很多人第一反应是：手机查出这个 App 有问题了？其实 ADV 这一步没有读包里的代码，它查的是这个包有没有登记在某个开发者名下——身份验证，不是安全检测。按小米澎湃 OS 开发者平台 8 月发布的《ADV 开发者验证操作指南》，开发者要提交营业执照、身份证、对公账户、法人活体等主体材料，再把应用的包名和签名证书绑进去。微博
所以“未验证”至少对应三种情况：一个只在 GitHub 发版的开源工具，或者一个海外小应用，开发者没在四家平台登记；一个被拆开重新签名过的修改版；一个真的由骗子做的包。它没有说“危险”，因为它不知道；它只知道“没登记”。 于是判断被交回给你。小红书
反过来，“已认证”也不等于“安全”。官方公告的原话是“为用户识别应用来源、判断应用是否安全提供依据”——是依据，不是结论。 身份验证核对的是主体资料，不是这个主体这一次想干什么。一个通过了验证的主体，仍然可以发布带广告的包。 出事之后找得到人，不等于事前不会作恶。微博小红书
它最能起作用的地方，是冒名和改包。有人把热门 App 拆开、塞进别的东西、重新签名，新包的签名就和原开发者在平台登记的记录对不上，会落到“未验证”。 假包不会因此消失，但“我装的还是不是原来那个包”这个问题，多了一个系统级的答案。微博
这套思路不是国内首创。Google 2025 年宣布 ADV，按计划在 2026 年 9 月底于巴西、印尼、新加坡、泰国先强制，2027 年推向全球。 按这套规则，未验证的包会被拦下；中国大陆不在 Google 的覆盖范围，四家厂商做的是国内版，不拦，只弹提示。微博微博
门槛一立，反对声也一直没停。F-Droid 甚至把 Google 通过 Play Protect 植入系统的 ADV 程序定性为恶意软件。 LineageOS 则明确说不会采用这套方案。 理由不是“身份验证没用”，而是它把“能不能装”和“谁发的”绑在一起，成本会落到开源项目、独立开发者和海外应用身上。国内版虽然只弹提示，逻辑是一样的：没登记，就先被贴上一个“未验证”的标签。微博IT之家
普通用户下次看到“未验证”，别急着删，也别直接点确认。它不告诉你这个包有没有偷数据，也不告诉你它会不会突然弹广告。先看包从哪来：官网、官方 GitHub Releases，还是群文件、网盘、破解站？再看签名：官网有没有公布安装包的签名指纹，能不能对上？最后看权限：一个手电筒为什么要读通讯录？来源可信、签名对得上，开发者只是没做登记，手动确认继续装，问题不大；来源说不清，这个提示就是一次有用的停顿。
对开发者，这事不复杂，但容易漏：在四家任一开放平台登记主体，绑定包名和签名；已经上架四家商店的 App 自动完成，不用重复申请。换签名证书或改包名要重新绑定，只改版本号不用。 官网下载页可以加一句“安装时会出现未验证提示，点确认即可”——这不会让提示消失，但能让用户知道该点哪里。这不是遮掩，是提前告诉用户这不是报错。小红书
ADV 要解决的是“出了事找不到人”，不是“这个人会不会出事”。把这两件事分开，“未验证”就没那么吓人：它只是手机在说，“这个包，我没法替你找到主”。
