CalyxOS

CalyxOS 是使用者友好權衡的隱私 Android 发行版 — 由 Calyx Institute 開發的一個 Android 分支，預設內建 microG（Play Services 兼容性）、Orbot 用於系統範圍的 Tor 路由、Datura 逐應用防火牆，以及一個故意比 GrapheneOS 更少鎖定的姿態。評為 Grade A，因為 CalyxOS 在隱私 Android 光譜上佔據了平衡點 — 在去匿名化方面有意義地比原生 Android 更難，故意比 GrapheneOS 更容易使用，具有不需要使用者手動配置每個元件的合理預設設定。

Background. CalyxOS 由 Calyx Institute 開發 — 一個在美國註冊的 501(c)(3) 非營利組織，專注於數字權利和公民社會基礎設施。該組織自 2010 年起運營；CalyxOS 本身于 2018 年推出。開源；程式碼庫在 Calyx Institute 基礎設施及鏡像上。支持的硬件：主要是 Google Pixel 裝置（Pixel 6/7/8/9/Tablet）；一些其他裝置有社群維護的移植。分發：官方 Datura-flasher、手動從鏡像刷入。資金：Calyx Institute 的非營利資金組合包括個人捐贈、基金會撥款（Mozilla、NLnet）和企業贊助；CalyxOS 本身是免費的。

What you trust. 基于 AOSP — 構建在 Android 開源專案之上。microG — Google Play Services 的開源重新實現。Orbot 內建 — 系統範圍的 Tor 路由是一個一鍵切換功能。Datura 防火牆 — 逐應用網路訪問控制。驗證啟動 — 在啟動時驗證作業系統鏈。硬體金鑰支援 — YubiKey、Solokey 用於應用級 2FA。開源核心 + 驅動。你不必信任的：microG 好但不是零泄漏 — microG 為需要它的應用轉發必要的 API 流量到 Google，但不共享你的位置、聯絡人或身份。硬體供應商（Google）信任 — Pixel 韌體和基帶由 Google 控制；在 Pixel 硬體上執行 CalyxOS 意味着信任 Google 的硬體級控制（GrapheneOS 也是如此 — 這是 Pixel 裝置上不可避免的硬體信任上限）。

Operational specs. 硬件：Google Pixel（最新幾個世代）；社群移植用於一些其他裝置（Fairphone、某些 OnePlus/Sony 型號）。分发：官方 Datura-flasher（Linux/macOS/Windows 的一鍵安裝），手動從鏡像刷入。預設服務：Aurora Store（匿名 Google Play 訪問）、F-Droid（開源應用商店）、microG（Play Services 替換）、Orbot（系統範圍 Tor）、Datura（逐應用防火牆），預設信使是 Signal。預設瀏覽器：Vanadium（隱私增強的 Chromium）；Tor Browser 推薦用於高風險匿名。更新模式：來自 Calyx 的月度安全更新，透過 OTA 在受支援裝置上應用。AOSP 版本：追蹤最近的 Android 釋出，有幾個月的滯後。硬件令牌支持：YubiKey、FIDO2/WebAuthn 金鑰。驗證啟動：安裝後可鎖定 bootloader 的選項。藍芽和 Wi-Fi MAC 隨機化：是。

Philosophy. CalyxOS 的編輯差異化特點是使用者友好預設設定姿態。GrapheneOS 是規範的最嚴格安全隱私 Android（更鎖定，捆綁更少的 microG，非技術使用者學習曲線更陡）。LineageOS 是規範的無 Google Android（隱私關注較少，更通用）。CalyxOS 位於兩者之間：比 LineageOS 更鎖定，比 GrapheneOS 更使用者友好。權衡：預設內建 microG 相比無 Google 服務基線擴充套件了攻擊面；對於需要 Play Services 相容性的使用者，這一權衡是必要的；對於不需要的使用者，GrapheneOS 更保守。Calyx Institute 的資金多樣性（擁有多個基金會支持者的非營利組織）是區分於一些較小的 AOSP 分支專案的長期可持續性訊號。

Grade rationale. Grade A 基於：開原始碼庫；由 Calyx Institute（15+ 年非營利組織，具有強大的數字權利記錄）支援；7+ 年的 CalyxOS 運營連續性（自 2018 年起）；月度安全更新；在廣泛可用的 Pixel 硬體上受支援；預設內建 microG；內建 Orbot 用於系統範圍 Tor；Datura 逐應用防火牆；預設無 Google 應用商店（Aurora + F-Droid）；支援驗證啟動；被 web3privacy 同行目錄收錄。最後驗證於 2026-05-13。

Useful when. 你想要一個具有使用者友好預設設定的隱私 Android — 當 GrapheneOS 對日常使用感覺太嚴格時，CalyxOS 是規範之選。你需要 Play Services 兼容性用於特定應用（銀行、外賣、打車、政府應用）但不想向 Google 傳送你的資料。你想要系統範圍 Tor 作為切換開關 — CalyxOS 中的 Orbot 整合是最乾淨的移動實現。你是一個在 Pixel 硬體可用地區的記者或活動家，需要一個關注隱私的 Android。你正在從原生 Android 手機升級，想要一個有意義的隱私升級而沒有 GrapheneOS 的學習曲線。你想要一個非營利支援的 Android 分支具有長期可持續性。

Caveats. 主要是 Pixel 硬件 — 對於其他手機，社群移植存在但覆蓋不均勻。microG 不等同於無 Google — microG 為需要它的應用轉發必要的 API 流量到 Google，但不共享你的位置、聯絡人或身份；對於最嚴格的隱私姿態，完全不安裝 Google 服務（GrapheneOS 的預設模式）。銀行和政府應用可能檢測到 microG — 一些應用檢測修改的 Play Services 並拒絕執行；如果依賴特定應用，請在使用前測試。Pixel 上的硬體供應商信任上限 — Google 控制 Pixel 韌體和基帶（GrapheneOS 面臨同樣的約束）。啟動時的驗證啟動警告 — Pixel + 帶鎖定 bootloader 的 CalyxOS 在啟動時顯示黃色狀態警告，這是正常且預期的。不如 GrapheneOS 鎖定 — 對於威脅模型包括複雜國家行為體攻擊的使用者，GrapheneOS 更嚴格的預設設定是規範之選。更新滯後原生 Android 1-2 個月 — 月度安全補丁及時；完整的 Android 版本更新滯後 1-2 個月。安裝是一次性的技術性工作 — Datura-flasher 使其容易，但仍需要解鎖 bootloader（Pixel 特定流程，需要工廠重置）。無 iOS 等價物 — Apple 的鎖定生態系統意味著沒有可比較的隱私 iOS。iOS 使用者想要等價隱私姿態沒有等價選項；現實路徑是「切換到 Pixel 並安裝 CalyxOS 或 GrapheneOS」。Aurora Store 匿名使用有其自身的怪癖 — 透過 Aurora 匿名從 Google Play 獲取應用大多數時候可以工作；一些需要基於賬戶購買的應用可能無法在沒有登入賬戶的情況下獲取。