危险信号 1–3：商业模式露出了马脚
一：App 里有广告。广告 SDK 存在的意义就是收集和传输；无论隐私政策怎么写，你的保险库 App 里都住着一条数据管道。二：一件纯本地的工作却要求注册账户。本地加密不需要身份；账户是为开发商的转化漏斗而存在的，而每一个账户都是又一个记录你使用行为的地方。三：“通过邮箱找回 PIN 码”。真正的加密无法由客服恢复——提供这项服务的 App 是在告诉你，它手里握着打开你内容的钥匙。
危险信号 4–5：技术是一团迷雾
四：任何地方都找不到加密细节。“军用级”和一把挂锁图标不叫文档。值得信任的保险库会写明算法、密钥从哪里来、输错 PIN 码时会发生什么——这些细节，冒牌货编不圆。五：你没要求过的云上传。如果文件默认因为“备份”或“处理”而离开设备，那么保险库的安全性就变成了开发商的服务器安全性，而且没人征求过你的意见。
危险信号 6–7：没人会去核对的细节
六：明文残留。导入的照片仍留在照片图库里却没有任何提示、缩略图在应用切换器里可见、预览在电脑备份里可读——这些疏漏都让内容越过了加密边界。七：不说明任何局限。每一种安全工具都有失效方式；一个一条都不列的开发商，要么自己不知道，要么在隐瞒。诚实地写出局限，是这个品类里最强的单一信任信号。
花两分钟看看开发商的网站，大多数问题就有答案了。如果答案缺席，那答案就是否定的。