Safe Haven 应用详情页上的信任标志怎么解读
五个标志一个一个看
每个应用详情页最显眼的就是一排五个信任标志。下面按"信息价值从高到低"排序解读。
1. 已验证源码（Verified Source）
颜色通常是绿/蓝/亮色调。这是价值最高的一个标志——开发者自己在源码仓库根目录放了 .safehaven 文件完成握手。
- 亮 = 开发者本人认领过
- 暗 = 没认领
有这个标志的应用，仓库是开发者自己管的，信息可信度最高。Safe Haven 推荐的挑应用顺序是：有已验证源码 → 只有源码登记 → 什么都没有。
2. 源码登记（Source Linked）
颜色通常是中性灰。说明这个应用条目关联了一个公开源码仓库链接，但还没被验证归属。
- 亮 = 有登记的仓库地址
- 暗 = 没有源码仓库关联
有这个标志但没有"已验证源码"的情况，说明仓库地址是社区贡献的或同步过来的，开发者还没来认领。
3. APK 扫描（APK Scanning）
颜色取决于扫描结果——通过了是绿/蓝，有问题是黄/红。
- 亮（通过）= 扫描管线没检出恶意载荷
- 暗（未通过 / 未扫描）= 扫描没过或还没进管线
扫描没通过的应用不会出现在公开目录里——所以正常情况下你看到这个标志亮就代表扫描过了且通过。如果一个应用条目没有扫描标志，它可能是正在排队等扫描的新提交，也可能扫描没过被卡住了。
4. 签名锁定（Signing-Key Pinning）
颜色取决于签名是否一致。
- 亮（一致）= 当前签名和首次扫描记录的一致
- 暗（变更 / 未记录）= 签名变了或还没记录
签名变了会自动触发管理员审查。正常使用中签名应该是稳定的——除非开发者合法轮换密钥（罕见）或应用被恶意替换（更罕见但严重）。
5. 未验证上架（Unverified Listings）
颜色是红色或警示色。这个标志亮了说明应用条目是社区贡献的或自动化发现的，不是开发者自己提交的。
这个标志不是"不好"的意思——很多社区贡献的应用确实是好应用，只是开发者还没来认领。但它确实意味着：开发者没有亲自声明"这个条目是我的"。
组合判断速查表
| 标志组合 | 怎么看 |
|---|---|
| 已验证源码 ✅ + 源码登记 ✅ + 扫描 ✅ + 签名锁定 ✅ | 最完整，放心装 |
| 源码登记 ✅ + 扫描 ✅（无已验证源码） | 有仓库但未认领，扫描过了，可以装 |
| 未验证上架 + 扫描 ✅ | 社区贡献，扫描过了，注意来源 |
| 什么都没有 | 大概率还在排队或扫描没过，先等 |
不要迷信某个标志
有"已验证源码"不代表应用一定安全——开发者自己提交的应用也可能有 bug、也可能偷偷加了跟踪器。"APK 扫描通过"也不代表扫描引擎没漏过。
Safe Haven 自己在 README 里说："Nobody can claim to be perfectly safe"（没人能说自己绝对安全）。
五个标志是事实陈述，不是安全评级。它们告诉你的是："哪些信息是有的"，而不是"这个应用安全不安全"。最终判断还是看用户自己。
一个实用的挑应用顺序
Safe Haven 自己在推广页面上给过建议：
挑应用的实用顺序： 已验证源码 → 登记了源码但未验证 → 什么信息都没有
第三种在别的商店里你无从分辨，在这里至少能看见它"什么都没登记"——信息透明本身就是一道过滤。