2026 年最佳安卓隐私 ROM：Graphene 与 Calyx 对比

如果原生安卓的数据收集超出了你的威胁模型所能接受的范围，现实的出路就是刷入注重隐私的第三方 ROM。2026 年值得了解的四个选项，在取舍上差别很大：安全强度、设备支持、银行类应用兼容性、安装难度，各有高低。本文坦诚对比 GrapheneOS、CalyxOS、DivestOS 和 LineageOS-MicroG，写给懂得刷第三方 ROM、正在挑选最适合自己日常使用的那一款的人。

原生安卓为什么是隐私隐患

完整分析见我们的 你的安卓手机在监视你吗 一文，这里只说结论：原生安卓默认会向 Google 发送大量遥测数据（位置、应用使用情况、搜索记录，用 Assistant 时还有语音录音），而大多数非 Pixel 厂商还会在此之上再向自家服务器发送一层遥测（Samsung、Xiaomi、Oppo/Realme、Vivo）。对原生安卓做隐私加固可以减少 80% 到 90%，只有隐私 ROM 才能彻底消除。

隐私 ROM 到底改了什么

与原生系统相比，改动分三类：

移除。 Google Play Services要么被彻底移除，要么换成沙盒化的受限版本。厂商的遥测服务被移除，预装的捆绑软件也被移除。

新增。 比原生安卓更精细的单应用权限控制（Graphene/Calyx 提供单应用联网开关，以及单应用传感器控制）。使用用户自控密钥的验证启动（具体是 Graphene）。加固的内存分配器和漏洞利用缓解措施。

调整。 默认 DNS 改为尊重隐私的服务商。默认浏览器按隐私需求配置（Graphene 用 Vanadium，Calyx 用加固版 Chromium）。默认搜索引擎不再是 Google。可从快捷设置中直接断开或控制网络。

4 款主流隐私 ROM 对比

GrapheneOS：Pixel 用户的最佳隐私 ROM

2026 年安全强度的明显领先者。由 Daniel Micay 带领的专业团队打造，得到持续资金支持，安全改进的推出速度始终快于其他任何安卓隐私 ROM。

Graphene 的与众不同之处：

• 加固的内存分配器：取代安卓标准分配器，在分配阶段就能发现利用漏洞的行为模式
• 单应用网络和传感器权限：可逐个应用开关联网，或麦克风和摄像头的访问
• 沙盒化 Google Play Services（可选）：把 Play 服务当作普通应用运行，不具备系统级权限；支持大多数 Play 应用，包括多数银行类应用
• 使用用户自控签名密钥的验证启动：可以用自己的密钥替换 Google 的签名密钥，再重新锁定 BL 并启用验证启动。这是所有第三方 ROM 中最强的安全模型。
• Pixel 上游安全更新同日或 1-2 天内跟进

局限：

• 仅限 Pixel，没有例外，近期也没有支持非 Pixel 设备的计划
• Play Integrity 的 STRONG_INTEGRITY 判定不通过（最高等级），部分银行会拒绝
• 不支持碰一碰支付（Google Pay 无法使用）

适合谁： 威胁模型较高的 Pixel 用户，比如记者、安全研究人员、受监管行业的从业者，以及任何有现实对手的人。

CalyxOS：仅限 Pixel，基于 MicroG 的替代方案

设备支持与 Graphene 相近（以 Pixel 为主），理念不同：CalyxOS 不提供可选的沙盒化 Google Play，而是内置 MicroG（Google Play Services API 的开源重新实现）。

优点：

• 全程无需 Google 账号
• MicroG 开源，可以审查它的行为
• 更符合不想在设备上留任何 Google 代码的隐私极致派的理念

缺点：

• MicroG 的银行类应用兼容性明显不如 Graphene 的沙盒化 Play
• 安全补丁节奏比 Graphene 慢
• 团队规模和资源不及 Graphene

适合谁： 明确希望设备上完全没有 Google 代码的 Pixel 用户（而不是 Graphene 那种“有 Google 代码，但被隔离”的思路），并且愿意为此接受更多银行类应用无法使用。

DivestOS：非 Pixel 设备的最佳隐私之选

一个加固了隐私的 LineageOS 分支。设备支持比 Graphene 和 Calyx 更广。团队较小，补丁较慢，但确实存在，也实用。

优点：

• 支持 70 余款机型，包括老款 Pixel、部分 Samsung、OnePlus、Xiaomi、Sony
• 可选 MicroG
• 开发活跃，主要维护者响应及时
• 加固的 WebView，以及 LineageOS 的其他改进

缺点：

• 受 MicroG 限制，银行类应用兼容性不如 Graphene/Calyx
• 老设备的内核可能存在未修补的漏洞（任何运行在老硬件上的 ROM 都是如此）
• 各设备的安装说明质量参差不齐

适合谁： 想在不换新机的前提下，让隐私状况明显好于原生系统的非 Pixel 用户。对已经失去厂商支持的老设备尤其有价值。

LineageOS-MicroG：超老设备的最后选择

标准 LineageOS 加上捆绑的 MicroG。它不像 Graphene/Calyx/Divest 那样是真正的隐私 ROM，但对专用隐私 ROM 不支持的设备，可以用基于 MicroG 的方式替代 Google 服务，功能上够用。

适合谁： 使用 5 到 7 年前的设备、没有任何隐私 ROM 支持，但标准 LineageOS 仍在维护的用户。隐私收益是真实的，但小于专用隐私 ROM。

各 ROM 适合谁：选择指南

• 你用的是当前型号的 Pixel，要最高隐私，能接受没有碰一碰支付和 HD Netflix： 选 GrapheneOS。
• 你用的是当前型号的 Pixel，要最高隐私，并且不想要任何 Google 代码： 选 CalyxOS。
• 你用的是支持 BL 解锁的 Samsung/OnePlus/Xiaomi/Sony 设备，想要隐私： 机型受支持就选 DivestOS。
• 你用的是老设备（5 年以上），专用隐私 ROM 都不支持： 选 LineageOS-MicroG。
• 你想提升隐私，但离不开 Google Pay 或 HD 流媒体： 继续用原生安卓，按我们的 你的安卓手机在监视你吗 一文做加固，接受剩余的数据收集。
• 你用的是 Samsung Galaxy S/Note/Z 系列，Knox 还完好： 要慎重权衡。BL 解锁会永久触发 Knox；如果以后可能需要保修，或想以完整的转售价值出售，就不要解锁。如果隐私更重要，再选择 DivestOS 或 LineageOS-MicroG。

隐私 ROM 上哪些功能会失效

坦诚说明各项取舍：

• Google Pay 碰一碰支付：目前所有隐私 ROM 都无法使用
• 银行类应用：许多可通过沙盒化 Play（Graphene）或 MicroG（Calyx/Divest）运行，但相当一部分不行。在把隐私 ROM 当作日常网银手机之前，请先测试。
• HD 流媒体（Netflix、Disney+、Prime Video）：因为没有 Widevine L1 或被降级，通常只能播放 SD 画质
• 部分 Samsung 专属功能（从 Samsung 换过来的话）：Samsung Pay、S Pen 高级功能、DeX 桌面模式
• 类似Find My Device的功能：只有主动使用尊重隐私的替代方案才有
• 依赖 Google Nearby 的智能家居设备配对：功能受限

哪些功能照常可用

• 网页浏览（往往更私密）
• 大多数通讯应用（WhatsApp、Telegram、Signal、Element、Matrix）
• 大多数办公应用（Office、Zoho、Notion、Obsidian）
• 相机和照片应用
• 大多数游戏（但部分网游的反作弊可能检测出被修改的系统）
• 地图（可用 OsmAnd 或 Magic Earth 代替 Google Maps；Graphene 上通过沙盒化 Play 也能用 Google Maps）
• 音乐流媒体（Spotify、通过沙盒化 Play 使用 YouTube Music，或用 Newpipe 代替 YouTube）

安装前准备：检查清单

漏掉其中任何一项，都容易导致只成功一半，或者出现“什么都正常，就是那个关键应用不行”的结果：

1. 列出你的关键应用，并逐个确认它们对 Play Integrity 的容忍度。 最可靠的办法是在 LineageOS 或 GrapheneOS 论坛里搜索你的银行名称加设备型号。如果别人反馈无法使用且没有解决办法，这就是不能接受的障碍。
2. 提前决定 Google 服务方案。 GrapheneOS：沙盒化 Play 还是完全不用 Google。CalyxOS：只有内置 MicroG。DivestOS：MicroG 可选。这个选择会影响哪些应用能用。
3. 把所有数据备份到设备之外。 照片备份到 Google Photos或用 USB 传到电脑，文档备份到 Drive/OneDrive，WhatsApp 用应用内备份。安装 ROM 会彻底清除设备数据。
4. 确认你的具体机型支持 BL 解锁。 部分运营商锁定的设备（美国 Verizon 和 AT&T 版的 Pixel 与 Samsung）根本无法解锁 BL。
5. 如适用，记下设备当前的 Knox 或保修标记状态。 Samsung：在 Download Mode 中查看 Knox。BL 解锁后该标记会被永久触发，要清楚自己放弃了什么。
6. 准备一台可用的备用设备来辅助安装。 在 60 到 90 分钟的安装过程中，你需要用手机或电脑查资料、排查问题、联系支持。如果主力手机是你唯一的设备，安装会让人压力大得多。
7. 至少留出 2 到 3 小时。 即使一切顺利，BL 解锁、刷入 Recovery、ROM 压缩包、Google 应用包、首次开机设置、安装常用应用，加起来也需要 90 到 180 分钟。

隐私 ROM 的更新节奏与日常维护

安装之后，后续的维护负担差别很大：

• GrapheneOS 大约每周通过 OTA 推送更新；安全补丁在 Pixel 上游补丁发布后 1-2 天内到位。更新是原子的，可回退。四者中维护负担最低。
• CalyxOS 大约每两周推送一次更新；安全补丁比上游晚 1-2 周。与 Graphene 类似，采用原子 OTA 更新。维护负担较低。
• DivestOS 对大多数受支持设备每月推送更新；安全补丁比上游晚 2-4 周，视设备而定。部分老设备的更新可能需要通过 Recovery 刷入。维护负担中等。
• LineageOS-MicroG 每周发布 nightly 版本，每月发布稳定版；安全补丁比上游晚 2-4 周。大多数设备需要通过 Recovery 刷入更新。维护负担高于专用隐私 ROM。

对刚接触第三方 ROM 的用户，平均每月需要预留 30 到 60 分钟处理更新维护，遇到有重大变化的更新月份会更多。

何时该找专业人员

如果你想在自己的设备上装好隐私 ROM，核实你实际使用的银行类应用的兼容性，并且有经过测试的备用方案以防缺少功能，请通过 WhatsApp 或 Telegram 联系我们。服务包括：安装前的银行类应用兼容性检查、完整的 ROM 安装、根据你的具体应用调好的 MicroG/沙盒化 Play 配置，以及安装后确认你依赖的一切都能正常使用。服务内容详见我们的 刷机服务。