F-Droid 客户端上手：自由软件仓库、索引签名与十个应用

F-Droid 是 Android 上的自由开源软件仓库，客户端只从带签名的索引里取包，不经过 Google Play。它只收源码公开、不带专有追踪器与广告库的应用，安装包由 F-Droid 项目自行从源码构建并签名。这篇文章按上手顺序讲：怎么装、索引怎么校验、反特性标记怎么读、第三方仓库的代价，文末给一份十款应用的清单。

F-Droid 是什么：只收自由软件的仓库

它是 2010 年起步的社区项目，不需要账号，也不记录你装了什么。收录门槛写在它的收录政策里：源码公开，不含专有的追踪器与广告库，并且由 F-Droid 从源码构建。官网中文页提供的客户端与索引，是整条链路的起点。

“没有专有追踪器”不等于“没有追踪”。用自由代码实现的统计照样存在，这类应用会被打上 Tracking 标记，而不是被拒收。真正带 AdMob、Firebase 一类专有库的应用，压根进不了主仓库。

构建方式也决定了两件事。其一，默认由 F-Droid 为每个应用单独生成签名密钥，在离线机器上签名。其二，构建可复现时，可以改用开发者自己的签名发布，前提是校验过两边产物一致。

装客户端与首次同步

F-Droid 不在 Google Play 上架，只能下载 APK 安装，客户端源码在 GitLab 的 fdroidclient 仓库。下载后系统会要求允许这个来源安装应用，同意即可；装完可以把这个权限收回去。

在意来源的话，先验签再装。官网同时提供 F-Droid.apk 与同名 .asc 签名文件，用 gpg 校验，公钥指纹应为 37D2 C987 89D8 3119 4839 4E3E 41E7 044E 1DBA 2E89。第三方指南记录过这个流程，也提醒“签名有效”只证明文件来自这把密钥，不证明代码无缺陷。

版本上有个坑。2026 年 9 月 24 日起推送 2.0，新下载拿到的是 2.0.x；老安装可能还停在 1.23.2，要手动去应用页的版本列表里装新版。2.0 要求 Android 7 以上，界面改成“发现／搜索／我的应用”三栏，仓库入口挪到顶栏。

首次打开会拉仓库索引，应用多、网络慢时要等一会。国内直连官方源常常卡住，可以换成高校镜像：在仓库设置里新增一条地址，形如 清华 TUNA 的 fdroid 镜像。镜像有自己的签名，首次添加会提示未信任，勾选信任后才生效。

更新节奏由客户端管。2.0 默认开启自动更新，条件是在 Wi-Fi 下、手机空闲时每天检查一次，也可以改成始终允许或仅在打开应用时检查。

索引、签名与版本核对

仓库不是一个网址，而是一把签名密钥加一份索引。索引里写着包名、版本号、APK 的哈希、签名密钥信息，还有生成时间与过期时间。客户端内置了官方仓库的公钥，拿它验索引，再用索引里的哈希验文件。安全模型文档把这几层写得很清楚：仓库由一把专属的签名密钥定义，元数据在独立机器上生成。

细节在版本差异上。index-v2 用 SHA-256 校验文件，签名算法是 SHA256withRSA；更早的 index-v1 用 SHA1withRSA。元数据在独立机器上生成，官方仓库那台完全离线，减少密钥被顺手带走的机会。

应用这一层的校验交给 Android。系统只认签名，签名对得上才允许覆盖安装；换渠道时签名一变，安装直接被拒。这不是应用质量判断，只是身份不匹配。站内Aegis 的渠道对比里写过同一件事：Play 与 GitHub 版同签名，F-Droid 版自行编译签名，两个体系不能互相覆盖，换渠道必须先卸载再恢复备份。

核对版本时，展开应用详情里的“版本”列表，看每个包来自哪个仓库、由谁签名，再对比已装版本。想更硬一点，用 apksigner verify --print-certs 读 APK 的证书指纹，与索引里的签名信息比对。

旧版本放在归档库。应用更新后出问题，可以在归档里找回上一版；2.0 不再让你单独添加归档地址，而是在仓库列表里点开 F-Droid 那一项，把归档开关打开。

第三方仓库：地址格式与信任代价

地址后面跟一个指纹参数，这是通用格式：仓库 URL 加 ?fingerprint= 再加一长串十六进制。客户端首次读取时把指纹钉住，之后索引签名对不上就报错，等于防了中途换钥匙。

以 NewPipe 的上游仓库为例，地址是 https://archive.newpipe.net/fdroid/repo/?fingerprint=E2402C78F9B97C6C89E97DB914A2751FDA1D02FE2039CC0897A462BDB57E7501。它的官方教程说明，从上游仓库能比主仓库更早拿到更新；但若已装主仓库版本，两个包签名不同，看不到也装不上，得先备份、卸载、再装。

代价有三层。每加一个仓库，就多信一个发布者的签名与构建流程；第三方仓库的元数据可能长期不更新，客户端据此判断不出新版本；镜像站用的是自己的密钥，信任镜像等于同时信任镜像运营方。

稳妥做法只有一条：地址与指纹都从项目官网复制，不从论坛、网盘、聊天记录里抄。同包名的应用，只保留一个来源，别在两个签名之间来回换。

反特性标记怎么读，边界在哪

反特性（anti-features）是打包者给应用加的提示，说明它在某些方面不合你的预期。官方清单目前有十项，读应用详情时逐条看即可。

• Ads：含广告，且广告不是用专有库实现的——用专有广告库的应用根本进不来。
• Tracking：默认收集或上报你的活动，且需要你主动去关。
• Non-Free Network Services：推广或完全依赖非自由的网络服务。
• Non-Free Addons：推广其他非自由插件或应用。
• Non-Free Dependencies：必须装某个非自由应用才能用。
• Upstream Non-Free：上游发行版自带专有组件，F-Droid 构建时删改过，功能可能缺失。
• Non-Free Assets：图片、音频等素材不是自由许可。
• Known Vulnerability：扫描器发现已知漏洞。
• Disabled Algorithm：用了已停用或不安全的签名算法。
• No Source Since：源码已不可得，后续不会再有更新。

数量边界要有预期。第三方在 2026 年 11 月按索引统计约 4,950 款应用，其中 Tracking 73 款、Ads 32 款；同期的 Google Play 以百万计。每周一期的 TWIF 里，2026 年 11 月 9 日那期记录新增 55 款，增量就是这个量级。

功能残缺是真的会发生。站内Joplin 安卓版那篇记录过：F-Droid 构建不含相机与定位功能，版本也常落后数个版本。原因不神秘——专有依赖去不掉，只能砍功能；自行编译需要时间，安全补丁也会晚到。

还有两条现实约束：仓库不收依赖 Play Services 或 Firebase 的应用，所以很多商业应用根本不会出现；国内访问官方源可能很慢，镜像能救急，但镜像同步有延迟。

先装这十个

装完客户端、同步好索引，再挑应用。下面十个都在主仓库里，覆盖日常使用的主要几类，按用途排列，不涉及排名。

清单里只放了 Organic Maps。同源的 CoMaps 也在 F-Droid 上，两者包名不同，可以同时装来对照同一片区域，站内两图对比那篇写过安装渠道与版本节奏。

建议分两步走：先装客户端与索引，再按需装三到五个，别一次装满。真正常用的往往只有浏览器、输入法之外的少数几款，其余留在仓库里，需要时再取。

相关地址

以下为文中项目的官方入口，仓库地址、指纹与版本以这些页面为准。

• F-Droid 官网（中文）：https://f-droid.org/zh_Hans/
• F-Droid 安全模型（官方文档）：https://f-droid.org/en/docs/Security_Model/
• F-Droid 反特性清单（官方文档）：https://f-droid.org/en/docs/Anti-Features/
• F-Droid 客户端源码（GitLab）：https://gitlab.com/fdroid/fdroidclient
• NewPipe 上游仓库添加教程（NewPipe 官网）：https://newpipe.net/FAQ/tutorials/install-add-fdroid-repo
• 清华 TUNA 镜像（F-Droid 仓库镜像）：https://mirrors.tuna.tsinghua.edu.cn/fdroid/repo