CalyxOS

CalyxOS 是用户友好权衡的隐私 Android 发行版 — 由 Calyx Institute 开发的一个 Android 分支，默认内置 microG（Play Services 兼容性）、Orbot 用于系统范围的 Tor 路由、Datura 逐应用防火墙，以及一个故意比 GrapheneOS 更少锁定的姿态。评为 Grade A，因为 CalyxOS 在隐私 Android 光谱上占据了平衡点 — 在去匿名化方面有意义地比原生 Android 更难，故意比 GrapheneOS 更容易使用，具有不需要用户手动配置每个组件的合理默认设置。

Background. CalyxOS 由 Calyx Institute 开发 — 一个在美国注册的 501(c)(3) 非营利组织，专注于数字权利和公民社会基础设施。该组织自 2010 年起运营；CalyxOS 本身于 2018 年推出。开源；代码库在 Calyx Institute 基础设施及镜像上。支持的硬件：主要是 Google Pixel 设备（Pixel 6/7/8/9/Tablet）；一些其他设备有社区维护的移植。分发：官方 Datura-flasher、手动从镜像刷入。资金：Calyx Institute 的非营利资金组合包括个人捐赠、基金会拨款（Mozilla、NLnet）和企业赞助；CalyxOS 本身是免费的。

What you trust. 基于 AOSP — 构建在 Android 开源项目之上。microG — Google Play Services 的开源重新实现。Orbot 内置 — 系统范围的 Tor 路由是一个一键切换功能。Datura 防火墙 — 逐应用网络访问控制。验证启动 — 在启动时验证操作系统链。硬件密钥支持 — YubiKey、Solokey 用于应用级 2FA。开源内核 + 驱动。你不必信任的：microG 好但不是零泄漏 — microG 为需要它的应用转发必要的 API 流量到 Google，但不共享你的位置、联系人或身份。硬件供应商（Google）信任 — Pixel 固件和基带由 Google 控制；在 Pixel 硬件上运行 CalyxOS 意味着信任 Google 的硬件级控制（GrapheneOS 也是如此 — 这是 Pixel 设备上不可避免的硬件信任上限）。

Operational specs. 硬件：Google Pixel（最新几个世代）；社区移植用于一些其他设备（Fairphone、某些 OnePlus/Sony 型号）。分发：官方 Datura-flasher（Linux/macOS/Windows 的一键安装），手动从镜像刷入。默认服务：Aurora Store（匿名 Google Play 访问）、F-Droid（开源应用商店）、microG（Play Services 替换）、Orbot（系统范围 Tor）、Datura（逐应用防火墙），默认信使是 Signal。默认浏览器：Vanadium（隐私增强的 Chromium）；Tor Browser 推荐用于高风险匿名。更新模式：来自 Calyx 的月度安全更新，通过 OTA 在受支持设备上应用。AOSP 版本：追踪最近的 Android 发布，有几个月的滞后。硬件令牌支持：YubiKey、FIDO2/WebAuthn 密钥。验证启动：安装后可锁定 bootloader 的选项。蓝牙和 Wi-Fi MAC 随机化：是。

Philosophy. CalyxOS 的编辑差异化特点是用户友好默认设置姿态。GrapheneOS 是规范的最严格安全隐私 Android（更锁定，捆绑更少的 microG，非技术用户学习曲线更陡）。LineageOS 是规范的无 Google Android（隐私关注较少，更通用）。CalyxOS 位于两者之间：比 LineageOS 更锁定，比 GrapheneOS 更用户友好。权衡：默认内置 microG 相比无 Google 服务基线扩展了攻击面；对于需要 Play Services 兼容性的用户，这一权衡是必要的；对于不需要的用户，GrapheneOS 更保守。Calyx Institute 的资金多样性（拥有多个基金会支持者的非营利组织）是区分于一些较小的 AOSP 分支项目的长期可持续性信号。

Grade rationale. Grade A 基于：开源代码库；由 Calyx Institute（15+ 年非营利组织，具有强大的数字权利记录）支持；7+ 年的 CalyxOS 运营连续性（自 2018 年起）；月度安全更新；在广泛可用的 Pixel 硬件上受支持；默认内置 microG；内置 Orbot 用于系统范围 Tor；Datura 逐应用防火墙；默认无 Google 应用商店（Aurora + F-Droid）；支持验证启动；被 web3privacy 同行目录收录。最后验证于 2026-05-13。

Useful when. 你想要一个具有用户友好默认设置的隐私 Android — 当 GrapheneOS 对日常使用感觉太严格时，CalyxOS 是规范之选。你需要 Play Services 兼容性用于特定应用（银行、外卖、打车、政府应用）但不想向 Google 发送你的数据。你想要系统范围 Tor 作为切换开关 — CalyxOS 中的 Orbot 集成是最干净的移动实现。你是一个在 Pixel 硬件可用地区的记者或活动家，需要一个关注隐私的 Android。你正在从原生 Android 手机升级，想要一个有意义的隐私升级而没有 GrapheneOS 的学习曲线。你想要一个非营利支持的 Android 分支具有长期可持续性。

Caveats. 主要是 Pixel 硬件 — 对于其他手机，社区移植存在但覆盖不均匀。microG 不等同于无 Google — microG 为需要它的应用转发必要的 API 流量到 Google，但不共享你的位置、联系人或身份；对于最严格的隐私姿态，完全不安装 Google 服务（GrapheneOS 的默认模式）。银行和政府应用可能检测到 microG — 一些应用检测修改的 Play Services 并拒绝运行；如果依赖特定应用，请在使用前测试。Pixel 上的硬件供应商信任上限 — Google 控制 Pixel 固件和基带（GrapheneOS 面临同样的约束）。启动时的验证启动警告 — Pixel + 带锁定 bootloader 的 CalyxOS 在启动时显示黄色状态警告，这是正常且预期的。不如 GrapheneOS 锁定 — 对于威胁模型包括复杂国家行为体攻击的用户，GrapheneOS 更严格的默认设置是规范之选。更新滞后原生 Android 1-2 个月 — 月度安全补丁及时；完整的 Android 版本更新滞后 1-2 个月。安装是一次性的技术性工作 — Datura-flasher 使其容易，但仍需要解锁 bootloader（Pixel 特定流程，需要工厂重置）。无 iOS 等价物 — Apple 的锁定生态系统意味着没有可比较的隐私 iOS。iOS 用户想要等价隐私姿态没有等价选项；现实路径是「切换到 Pixel 并安装 CalyxOS 或 GrapheneOS」。Aurora Store 匿名使用有其自身的怪癖 — 通过 Aurora 匿名从 Google Play 获取应用大多数时候可以工作；一些需要基于账户购买的应用可能无法在没有登录账户的情况下获取。