在 Android 上从商店外安装应用有什么变化？

自 2026年9月30日 起，巴西、印度尼西亚、新加坡和泰国经过认证的 Android 手机将拒绝安装来自七个应用商店（包括 Google Play 和三星商店）的任何应用，除非其开发者已向 Google 登记身份。Google 将于 2027 年把这一要求扩展到全球经过认证设备上的所有应用，包括通过直接下载链接安装的应用。对您在沙特阿拉伯的公司而言：如果您通过直接链接向员工或客户分发应用，或者尚未确认您在商店中的应用已经注册，那么在截止日期之后，用户的手机可能会拒绝安装。商店外注册需一次性支付 25 美元（约 94 里亚尔），但需要应用的数字签名密钥，而这把密钥可能在开发该应用的开发者手中，而不在您手中。

2026年9月30日 开始了什么？

根据 Google 在 Android Developers Blog 上的官方公告，开发者身份验证仅在四个国家启动，而且只适用于运行 Android 7 或更高版本的认证设备。参与这一阶段的七个商店是：

  • Google Play，来自 Google。
  • Galaxy Store，来自三星（Samsung）。
  • GetApps，来自小米（Xiaomi）。
  • OPPO App Market，来自 OPPO。
  • V-Appstore，来自 vivo。
  • HONOR App Market，来自荣耀（HONOR）。
  • Palm Store，来自传音（Transsion）。

Google 解释这一举措的理由是：诈骗者躲在匿名名称背后，传播冒充知名公司的有害应用。在 2025 年 8 月的首次公告中，Google 表示其分析发现，从互联网侧载的应用中的恶意软件比 Google Play 多出五十多倍。据该公司称，自 2026 年 3 月开放注册以来，开发者已注册了数百万个应用。

这一要求何时会扩展到沙特阿拉伯？

Google 没有给出具体月份，只宣布全球扩展将于 2027 年开始。在此之前，沙特阿拉伯的用户不会受到任何影响：Google 在其 官方常见问题页面上表示，直接安装或从未参与的商店安装的应用暂不受新要求约束，但建议开发者在全球推行开始之前完成验证。

日期已经发生或将要发生的事
2025 年 8 月Google 宣布开发者身份验证要求
2026 年 3 月面向开发者开放注册，Google 说明面向有经验用户的高级安装流程
2026 年 8 月免费有限分发账号和高级流程上线
2026年9月30日在 4 个国家和 7 个商店开始执行；剩余 Google Play 应用的最后注册日期
2027 年扩展到全球（包括沙特阿拉伯）认证设备上的所有应用

贵公司的哪些应用会受到影响？

  • 您在 Google Play 上的应用：Google 表示，商店中超过 99% 的应用已自动注册，使用 Play 应用签名服务的应用会自动证明所有权。但 Google 要求开发者在 2026年9月30日 之前注册剩余的应用，以免应用在所有国家被从 Google Play 下架。请打开您开发者账号（Play Console）的首页，今天就查看状态。
  • 通过直接链接分发的应用：例如供销售代表、司机或外勤技术人员使用的应用，或者您通过 WhatsApp 将链接发送给客户的应用。这是受影响最大的情况，需要在 2027 年之前在 Android Developer Console 中完成注册。
  • 公司管理设备上的内部应用：从贵组织私有商店分发到集中管理设备上的应用无需验证，因为您的 IT 管理员已经对其进行了审核。不过 Google 仍建议对其注册，以便有人将其下载到未受管理的设备上时也能顺利安装。
  • 开发者电脑上的测试版本：通过 ADB 开发者工具进行的安装不受影响。
  • 在少量设备上试用：根据 有限分发页面，免费的有限账号可以让您与最多 20 台经机主同意的设备共享应用，无需政府颁发的身份证件，也无需付费。但 Google 是为学生和爱好者设计的，所以不要在它上面构建公司的业务应用。

签名密钥：可能让您的应用卡住的要求

每个 Android 应用在发布前都会用私钥进行数字签名，注册时您正是用这把密钥向 Google 证明应用归您所有。Google 在其常见问题页面上说得很清楚：如果丢失签名密钥，您将无法注册您的应用。而如果软件包名称（即应用的唯一标识符，例如 com.company.app）已被占用，您的密钥可能不被接受，申请需要额外审核，您可能不得不使用新的软件包名称。实际上，新的软件包名称就意味着一个新应用：每位用户都必须删除旧应用并重新安装。

这是企业中常见的问题：应用由自由职业开发者或以前的外包公司开发，密钥留在了他们的电脑上。今天就索要密钥及其密码，并将其保存在公司所有的安全位置。如果您的合同没有要求交付这些内容，请阅读 我们关于版权法下软件权利归属的文章。

试图安装未注册应用的人会遇到什么？

Google 并没有完全关上大门。根据 其对高级流程的说明，有经验的用户可以在完成一系列刻意设计得很长的步骤后，安装未经验证的开发者的应用：在设置中开启开发者模式，确认没有人在电话中指导自己操作，重启手机，一次性等待 24 小时，然后用指纹或设备 PIN 码确认。之后，用户可选择启用 7 天或永久启用，而每次安装未经验证的应用时仍会出现警告。

这些步骤旨在挫败那些与受害者保持通话、引导其关闭保护功能的诈骗者。所以不要让您的客户或员工经历这些步骤：这意味着要等上整整一天、看到一条让人怀疑您应用的警告，还会让人们习惯于忽视安全警告。

您现在应该做什么？

  1. 盘点您的应用：列出贵公司分发的每个 Android 应用及其分发方式：商店、直接链接或受管理设备。
  2. 检查您的 Google Play 账号：确保您的所有应用都已注册，并且账号登记在公司名下，而不是某位员工名下。
  3. 注册通过直接链接分发的应用：以公司名义开设 Android Developer Console 账号。完整分发账号的费用为 25 美元，以组织身份注册需要一个 9 位数的 D-U-N-S 编号，可从 Dun & Bradstreet 免费获取；这与 Google Play 账号要求中对组织账号要求的编号相同。
  4. 收回签名密钥：在需要之前，从开发该应用的开发者或外包公司处取得密钥及其密码。
  5. 将内部应用迁移到受管理设备（如果它们运行在公司自有设备上），或者像其他应用一样对其进行注册。

如果您打算在商店中发布应用而不是使用直接链接，请先阅读 应用在商店审核中被拒的八个原因。

我们对每个 Android 应用的建议

在 Origami，我们建议在任何 Android 应用首次发布时做好三件事：以组织名义开设开发者账号，在项目交付时将签名密钥连同代码一并交给客户，并从一开始就在 Google 注册软件包名称。这些步骤在项目开始时只需几个小时，而如果拖到 2027 年，可能要花上数周时间重新发布。如果您已有一个应用，却不知道它的密钥在哪里、账号登记在谁的名下，请在进行任何新开发之前先弄清这个问题。

资料来源