那一刻我就知道，所谓「苹果下载49图库并安装」在网上流传的绝大多数做法，都绕不开把一堆来路不明的证书塞进你手机的信任链。这个归档页把我近半年写过的 12 篇记录、核对过的安装包来源和踩过的坑按时间摊开，供人按图索骥，也供人挑错。
下面这批文字里，凡是涉及包体 SHA-256 与上传时间的地方我都标了数字，凡是涉及主观判断的地方我都标了「我认为」。你要是只想抄步骤，直接看第 3 条和第 9 条；你要是想知道自己为什么会在半夜看到奇怪的描述文件，看第 1 条。
那天晚上 22:47，我在朋友的 iPhone 15 上复现了「苹果下载49图库并安装」的完整流程，装上后 40 分钟，系统弹出「无法验证 App」的提示，原因是一份叫 「XF Gallery Enterprise」 的描述文件被苹果吊销了。我把它写进了「来源辨析」系列，顺手核对了 49图库官方网站下载地址 与这份证书之间到底有没有关系——结论是：没有直接关系，但两者在搜索引擎里被混得很厉害。
设备管理
我在两台设备上做了对比，一台走 TestFlight，一台走企业证书。前者在设备管理里干干净净，后者留下 4 条残留。这条顺手记了怎么清理。
这是我做过最细的一次步骤记录。用一台恢复出厂设置的 iPhone SE（第三代，iOS 17.6）从零开始，把每一个「允许」「继续」「信任」都截了图并按时间编号，最后统计出 11 次点击、2 次跳转、1 次重启。中途在第三步就卡住了——Safari 把下载的 .mobileconfig 当成「描述文件」预览，而不是直接安装，这个差异在不同系统版本里表现得非常不一致，值得单独写一篇。
我把近三个月收到的 63 封读者邮件按诉求分了类，其中 27 封其实是想找回被系统删掉的下载记录，而不是找安装包。这篇给了整理方法，也放了 找回丢失49图库下载 的入口说明。
功能对照
翻了 40 多页官方说明，我挑出三个被忽略的点：批量预览的缓存上限、竖屏锁定的默认状态、以及一个会造成重复下载的刷新逻辑。顺带链到 新奥门17图库特色功能详解。
说实话，我在整理这批材料的时候是带着火气的。绝大多数所谓「苹果下载49图库并安装」的教程，只教到「图标出现在主屏上」就结束了，对描述文件的来源、证书的有效期、包体的哈希只字不提。安装成功只证明 iOS 接受了一份签名，不证明这份签名背后的人值得信任。这个观点会得罪一些做引流页的人，但我还是把它放在这里，因为它比任何一步操作都重要。我甚至建议读者在做任何信任操作之前，先看一眼 49.tk.app官网下载 页面底部有没有写清楚证书主体。
每次装完手动记时间太烦，我写了个快捷指令，在打开 App 时自动往备忘录写一条带时间戳的记录。19 行，跑了两周，抓到 3 次异常启动。
证书
用 openssl 逐份看了有效期与主体，14 份里 9 份已过期或被吊销，剩下 5 份里有 2 份主体填的是个人邮箱。这份表格我放在归档里，谁要用谁自取。
5 月 22 日我拿一台 iPad Air（第五代）照搬 iPhone 的步骤，到第九步「信任企业级开发者」时，设置项根本不存在。查了两天资料才确认，iPadOS 17 之后这条路径被收窄了，必须走 MDM 配置或者干脆换方法。这个发现让我把整个系列的操作部分重写了一遍，也让我对「一套教程通吃所有苹果设备」这种说法彻底失去耐心。
她 4 月换了新手机，旧机上的东西迁移过来后，描述文件也跟着来了。6 张截图按时间排列，正好能看到证书状态从「已验证」变成「未验证」的全过程。
隐私
相册、通知、本地网络、追踪，四项挨个拒绝。23 次点击之后 App 依然能用，说明大部分权限请求是「想要」而不是「需要」。这篇把每一项的后果写清楚了。
因为负责的写法里不存在一键。任何声称一键的页面，省略的都是签名验证和来源核对。这篇短，但它是整个归档的立场声明。
这张表按阅读次数排序，排在第一位的是那篇立场声明，多少有点讽刺——大家最想看的，是解释为什么没有捷径。