Android 裝 Google Play 以外 app：唔係唔得，但要識揀來源

先講結論：第三方 app store 唔係一種嘢

Android Authority 呢篇 listicle 提到 F-Droid、Aurora Store、Obtainium、APKMirror 同 Galaxy Store，表面似係 Google Play alternatives 排名，實際要睇嘅係「你信邊個」。F-Droid 信開源同佢嘅 build 流程，Aurora 信 Google Play 後端但唔用 Play Store app，Obtainium 信原作者 release，APKMirror 信網站同 APK 簽名，Galaxy Store 就信 Samsung。拎佢哋撈埋一齊講「第三方 app store 安唔安全」，其實好易誤導，因為每條路出事位都唔同。

Google Play 依然係大部分人最穩陣嘅入口，唔係因為 Play Store 完美，而係佢有付款、退款、分區、更新、Play Protect、app 簽名同權限政策一套拉住。Google 自己喺 2025 年開發者身份驗證（developer verification）公告話，佢哋分析發現，來自網上 sideload 來源嘅惡意軟件，係 Google Play 所提供 app 嘅 50 倍以上；Google Play Protect 說明亦寫明會掃 Google Play 以外 app，提示、停用或者移除有害 app。呢啲係 Google 自己嘅數字，要當成佢嘅分析口徑睇；但至少講得清楚，亂撳 APK link 嘅風險唔細，唔好當識裝 app 就一定安全。

圖片：Android Developers Blog / Google

2026 年，sideloading 會多幾重閘

而家最值得留意嘅新背景，係 Google 正推 Android 開發者身份驗證。官方 2025 年公告寫明，2026 年 9 月起，Brazil、Indonesia、Singapore 同 Thailand 呢幾個地區嘅已認證 Android 裝置，安裝 app 時會要求開發者先完成身份驗證；2027 年會再擴大。Google 2026 年 3 月再公布一套進階安裝流程（advanced flow）。按公告描述，熟悉系統嘅用戶仍可裝未驗證開發者嘅 app，但要開 developer mode、確認唔係俾人電話教路、重開機、等一日，再用生物認證或者 PIN 放行。香港暫時未喺首批地區名單入面，但寫 app、派公司內部 app、長期用 F-Droid 嘅人，2027 年之前要睇實。

F-Droid 係最好理解又最容易講錯嗰個。佢唔要帳戶，主打自由開源軟件，會標記廣告、追蹤、非自由網上服務呢類 anti-features；官方安全機制說明又講到可重現建置（reproducible builds）、每個 app 用獨立簽名 key、f-droid.org 用離線機簽署等做法。好處係私隱同透明度高，壞處係 app 量細、更新有時慢過原作者 GitHub 或 Play Store，同埋你依然要信 F-Droid 嘅審查同 build 基建。用嚟裝 NewPipe、Aegis、K-9 Mail 呢類開源工具好合理；用嚟追銀行、叫車、串流服務就唔係佢主場。

Aurora、Obtainium、APKMirror 唔係同一類工具

Aurora Store 就完全另一回事。佢官方自己都講，Aurora 係 Google Play 嘅另一個介面，可以用匿名帳戶，亦可以登入自己 Google 帳戶，但匿名模式有功能限制。呢個做法啱一部冇 Google 服務、又想攞免費 Play Store app 嘅機；但付費 app、in-app purchase、Play Integrity、推送通知、地區限制，全部都可能變麻煩。最要避開嘅心態係「Play Store 唔畀我裝，所以我搵 Aurora 裝到就得」：裝到唔代表付款、授權、保安檢查同服務條款都過關。

Obtainium 同 APKMirror 就偏進階工具路線。Obtainium 會睇 GitHub、GitLab、F-Droid 等版本發布頁面，幫你跟原作者更新，適合開源 app、測試版、冇上 Play Store 嘅小工具；但來源清單一多，你就要自己逐個揀來源同把關。APKMirror 方便搵舊版、分批推出中嘅版本或系統 app 版本，但唔好攞嚟搵破解、付費 app 或出處唔清嘅改版 APK。Android app 簽名只係證明下一個更新同上一個安裝版本用同一條 key，唔會神奇保證個開發者善良，所以第一個來源要揀得乾淨。

至於 Amazon Appstore，而家已經唔應該當佢係一般 Android 手機嘅選項。Amazon Developer Blog 2025 年 2 月已經寫明，Amazon Appstore for Android devices 喺 2025 年 8 月 20 日停止支援；之後由嗰度下載嘅 app，Amazon 都唔保證可以喺 Android 手機上繼續正常用，Appstore 會留返俾 Fire TV 同 Fire Tablet。換句話講，2026 年你仲見到有人推 Amazon Appstore 做 Android 手機替代 store，基本上資料已經過時。

點裝先算醒目

實用做法可以好簡單：平時 Google Play 優先；開源私隱工具先睇 F-Droid；原作者只喺 GitHub 派 APK 先考慮 Obtainium；Samsung 專用功能先開 Galaxy Store；舊版 APK 只當救急。每次裝 Google Play 以外 app，都要問三樣嘢：來源係咪官方、更新會點跟、app 開口要咩權限。手電筒要 Accessibility、PDF 工具要 SMS、公司 APK 經 WhatsApp 轉發，呢啲全部都係紅燈。

最後，Play Protect 唔好熄；裝完 APK，去設定入面取消 Chrome、Files 或第三方 store 嘅「Install unknown apps」權限；新裝 app 第一次開時，位置、相簿、通知、Accessibility、SMS、Files access 逐個睇，唔啱就拒絕。Android 好用在可以自己裝 app，但每次裝之前都要諗清楚來源信唔信得過。Google 收緊 sideloading 之後，真正受影響嘅唔只係玩家，仲有開源開發者、公司 IT 同用舊機頂住嘅人。

參考來源

• Android Authority — 5 Android app stores you should use instead of the Google Play Store — original report
• A new layer of security for certified Android devices — Google 官方公告，確認 developer verification 時間表、certified Android device 範圍同 sideloaded malware 風險數字。
• Android developer verification: Balancing openness and choice with safety — Google 官方補充 advanced flow，講清楚未驗證開發者 app 點樣仍可由 power user 安裝。
• Use Google Play Protect to help keep your apps safe & your data private — Google 官方 Play Protect 說明，確認會掃 Google Play 以外 app、提示或移除有害 app。
• Security Model | F-Droid — F-Droid 官方 security model，補充 reproducible builds、app signing 同初始安裝防護。
• Aurora Store — Aurora 官方頁，確認佢係 Google Play 另一個介面，可用匿名或自有 Google 帳戶，但功能有限制。
• ImranR98/Obtainium — Obtainium 官方 repo，確認佢係 direct from source 嘅 Android app updater，支援 GitHub、GitLab、F-Droid 等來源。
• Upcoming changes to Amazon Appstore for Android devices and other programs — Amazon 官方開發者公告，確認 Android 手機版 Appstore 2025 年 8 月 20 日停止支援。

本文根據原文及公開資料整理；資料有出入時，以原文及官方資料為準。