三月二十一号下午，我把那台闲置四年的红米 Note 9 重新开机，屏幕亮起来的第一件事，是找 qq浏览器下载安装app 的入口。

关于 qq浏览器下载安装app：一份写给自己看的核查清单

我一直觉得「下载安装」这四个字被说得太轻了，轻到像一句口头禅。可当你真的把一台 2020 年出厂的安卓机摆在桌上，屏幕有一道从左上角斜下来的划痕，电池健康度已经掉到 71%，这时候你去点那个安装按钮，事情就不一样了。它不再是一个动作，而是一连串判断：包从哪来、体积多大、签名对不对、系统版本够不够、装完之后那几个权限该不该给。这些判断里没有一条是「常识」，每一条都得自己查或者自己试。

三月二十一号那天下午，我花了将近四十分钟做这件事，其中真正点「安装」的时间只有不到七分钟。剩下三十多分钟，我在比对两个安装包的体积差异、翻系统设置里那条「专为旧版 Android 打造」的提示、以及给陈屿发消息确认「读取应用列表」这个权限在他店里是不是常见。他回得很快：「常见，十个里有八个都问，但我一般直接说，你不给也能用。」这句话让我放松了一点，也让我对权限清单的写法多了一层怀疑——如果一句口头解释就能替代，那份清单存在的意义到底是什么。

说句可能不太受欢迎的话：我认为多数用户根本不该自己去折腾安装包来源，这件事应该被系统层收拢掉。

但这个观点有个前提，就是分发渠道本身得可信。我在市图书馆三楼用公共电脑打开下载页那次，页面加载花了 4.2 秒，右下角还弹了更新提示，我当时的第一反应不是「页面好慢」，而是「如果这是个被改造过的页面，我可能看不出来」。周慕之在《移动应用分发的灰色地带》第三章里写过一句我抄下来的话：安装包来源的可追溯性，是移动安全里最被低估的一环。这本书 2023 年出版，印量 3000 册，我在二手平台花 46 元买到，扉页上还有前任主人的一个签名，写着「2013.6 于南京」。这个签名和整件事无关，但我一直记得，因为它提醒我：连一本书都能被转手、被标记、被追问来路，一个安装包凭什么不需要。

所以我把这次的核查过程写下来了，不是为了给谁一份标准答案，而是给我自己留一份可复查的记录。

具体做法很笨：先用文件管理器确认旧包的修改时间与大小，再对着系统版本号判断兼容性，然后装上去，逐条读权限，最后用了一次网页端登录来验证功能是否完整。这次验证的时候我顺手重读了站里那篇 qq网页在线登录入口，里面关于扫码绑定的细节和我这次的体验对得上。另外两篇我也会在后面的笔记里引用，一篇是讲图库类应用下载来源的 0149资料图库app下载链接，另一篇是偏安全侧的 新奥门494949.cm的防诈骗指南，后者的价值主要在于它把「来源可疑」的几种典型页面特征列得很清楚。

整个过程结束时是下午四点十七分，手机电量从 23% 掉到 9%。我把它插上充电线，在便签里写了一句：「装完了，但没有轻松感。」这大概就是疲惫但值得的那种状态——你完成了一件小事，同时知道了这件小事背后还有一堆没解决的事。