教你一眼分辨99tk图库仿冒APP：证书、签名、权限这三处最关键：权限别全开

随着图片类应用的火爆，仿冒“99tk图库”之类的APP层出不穷——有的偷数据、偷偷窃取照片，有的植入广告和挖矿代码，最危险的甚至会获取敏感权限做进一步攻击。要想在第一时间识别出仿冒应用，掌握三个核心判断点就够了：证书、签名和权限。下面把实用的检查方法、常见伎俩和应对步骤讲清楚，操作性强，照着做就行。

为什么看证书/签名/权限？

证书与签名决定一个APP是否为原作者发布、是否被篡改。官方APP的签名在每次更新中保持一致，仿冒或篡改的APK签名会不同。
权限直接决定APP能做什么：请求所有敏感权限几乎等于把手机钥匙交给它。很多仿冒APP靠多权限牟利或窃取隐私。

一、证书：如何快速核验（面向普通用户和进阶用户）

普通用户能做的：
只从官方渠道下载：Google Play、99tk 官网或知名第三方库（例如 APKMirror）。Google Play页面会显示开发者名称、安装量、更新时间等线索。
看包名（Package name）：Play 商店链接和页面底部会显示包名，官方包名通常相对规范；仿冒常用相似但不同的包名来迷惑用户。
查看开发者信息与联系方式，留意低评分、差评集中提到“弹窗”“窃取照片”等字样。
进阶用户可用的命令（下载了APK时核验签名指纹）：
apksigner（Android SDK 工具）： apksigner verify --print-certs app.apk 可显示签名证书和指纹（SHA-1、SHA-256）。
keytool（JDK 提供）： keytool -printcert -jarfile app.apk 可直接打印证书信息与指纹。
也可以把 APK 解压后，在 META-INF 下找到 .RSA/.DSA 文件，用 openssl 转换并查看指纹。
怎么判断是否一致：
拿到指纹后，与官网、可信第三方（如 APKMirror 列出的签名）或旧版 APK 的指纹对比；一致则说明没有被篡改或重签名。

二、签名：为什么签名是“身份ID”

一个开发者发布的APK在不同版本间应使用同一私钥签名。若新版本签名变了，系统会阻止直接覆盖更新，或提示需要卸载旧版再装新版本。
仿冒者通常会重签名 APK（用自己的私钥），导致签名指纹与官方不同。用上述命令比对签名指纹即可发现异常。
Play Protect 会对上架应用做一定检测，但即使在第三方市场，签名核验仍是分辨真伪的关键手段。

三、权限：哪些权限必须慎重（以及如何处理）

安装前查看权限清单：Google Play 会标注权限和“敏感权限”，安装时也会提醒一些权限组。对照以下清单判断是否合理。
高风险权限（仿冒APP常用来窃取或滥用的）：
读取/发送短信（READSMS、SENDSMS）：可能窃取验证码或发送付费短信。
通话/读取通话记录（READCALLLOG、CALL_PHONE）：可能被用来窃听或窃取通话信息。
存储/读取外部存储（READEXTERNALSTORAGE、WRITEEXTERNALSTORAGE）：直接访问照片、文件，仿冒图库往往借口资源而请求这些权限。
访问联系人（READ_CONTACTS）：可以导出联系人或发送垃圾信息。
定位（ACCESSFINELOCATION/COARSE_LOCATION）：用于跟踪位置。
可安装未知应用/悬浮窗/辅助功能（REQUESTINSTALLPACKAGES、SYSTEMALERTWINDOW、BINDACCESSIBILITYSERVICE）：危险级别极高，辅助功能尤其能被滥用来绕过权限或操作界面。
权限判断原则（实操版）：
如果一个自称图库的APP请求“发短信/通话/辅助功能/安装未知来源”这类权限，几乎百分百可疑。
安装后尽量只授予运行所需的最低权限。Android 6+ 的动态权限可以在设置中单独撤回。
对于必须要访问照片的图库APP，只授予“存储/媒体访问”权限，不要同时授予通讯录/短信等无关权限。