照片鎖定 App 選購指南：付費前的 6 項檢查
App Store 裡的每一個照片鎖定 App，給你看的都是同樣三張截圖：鍵盤後面的縮圖方格、一把掛鎖、一個承諾。這些都不會告訴你，這個 App 究竟把你的檔案加密了，還是只把它們移到「照片」App 看不到的資料夾裡。差別只有在有人把你的 iPhone 接上電腦那天，或是 App 打不開的那天才會浮現。這份指南是你在付費前該在商店頁面上跑過的檢查清單，排序刻意讓最差的候選先被淘汰。
判斷一個照片鎖定 App，依照這個順序看六件事。第一，App Store 的隱私權標示：會收集識別碼、使用資料或聯絡資訊的 App，不論分類寫什麼，都是在鎖旁邊經營一門資料生意。第二，它有沒有寫出加密演算法的名稱。保證軍規級安全、卻從來沒寫過 AES-256 的 App，描述的是一種感覺。第三，它是否需要帳號。一個電子郵件地址，就把私密的保險庫變成別人手上一筆「你在用它」的紀錄。第四，檔案放在哪裡。只存在裝置上是你能用飛航模式驗證的說法，而任何會同步的服務都必須說清楚金鑰由誰保管。第五，收費方式。訂閱制和買斷制買到的是同一種加密，但過期的訂閱可能把你自己的照片關在付費牆後面，所以要讀清楚期限結束時這個 App 會做什麼。第六，離開的路。如果沒有匯出原始檔的方法，你的照片圖庫就被單一開發者扣住了。先在商店頁面上跑完這六項，再趕在試用期結束之前，花十分鐘用三張不要的照片測試。
先看隱私權標示，不要先看截圖
Apple 要求每個開發者在 App 上架前申報自己收集什麼，答案就在產品頁面的「App 隱私權」底下。那是商店頁面上唯一一塊開發者不能當成行銷文案來寫的內容。讀說明之前先打開它。照片鎖定 App 只有一個任務，而且完成這個任務不需要你的任何資料，所以整個分類誠實的答案就是「未收集資料」。其他任何答案都是開發者刻意做的決定，而標示就是這個決定留下紀錄的地方。
有三個項目應該直接結束這次評估。「用於追蹤你的資料」代表這個 App 把識別碼分享給廣告商，正好和你想買的東西相反。「聯絡資訊」代表要開帳號，而帳號代表一份安裝過隱私 App 的人員名單。「使用資料」代表開發者看得到你在保險庫裡做了什麼，粒度由他們決定。一份針對十二個 iOS 保險庫 App 的安全稽核發現其中七個在追蹤使用者，所以乾淨的標示是例外，不是基本水準。先讀它，因為只要十秒，就能刷掉 App Store 上的大部分選項。
區分保險庫與資料夾的四項說法
把照片藏起來的 App 和把照片加密的 App，在截圖上一模一樣。前者只是把你的檔案移到自己的目錄裡，「照片」App 不再顯示它們，但一台有檔案瀏覽器的電腦仍然看得到。後者把它們變成需要金鑰才能還原的密文。要找的說法是具名的演算法：AES-256、AES-256-GCM、ChaCha20。銀行級或軍規級這類含糊字眼不算說法，因為它們沒有任何地方可以被證明是錯的。IOActive 拆解過幾個熱門的 iOS 照片保險庫，發現檔案就大剌剌地放在一道密碼畫面後面，而這正是這項檢查能抓到的失敗。照片保險庫 App 實際的運作方式完整說明了其中的機制。
第二項說法是帳號。需要電子郵件地址、電話號碼或社群登入的 App，等於建立了一筆把你的身分和一個隱私工具綁在一起的紀錄，而這筆紀錄會活得比你使用這個 App 的時間更久。第三項是位置：只存在裝置上，還是同步到開發者的伺服器。只存在裝置上是可以驗證的，這也是下面那個十分鐘測試的用意。第四項是你刪除 App 時會發生什麼事。在 iOS 上，刪除 App 就會刪掉它的容器，所以只存在保險庫裡的照片會跟著一起走。刪除保險庫 App 會把照片一起帶走,除非這個 App 告訴過你照片還存在哪裡;商店頁面上從不提這件事的 App，不值得你把原始檔交給它。
免費、訂閱和買斷各自買到不同的風險
免費的照片鎖定 App 一樣有成本，所以要問這些成本由誰負擔。常見的答案是廣告 SDK，那也是隱私權標示變髒最常見的來源，而廣告 SDK 就是一段你沒有選擇的程式碼，在你的私人照片旁邊執行。訂閱制付的是維護費用，這件事在這個分類比在多數分類都重要：一個不再跟上 iOS 更新的加密 App，會從工具變成負債。買斷制拿掉了續訂的風險，也把維護的問題丟回給你。買一次就好的照片保險庫列出了現在還這樣賣的 App。
不管是哪一種收費方式，都要找到寫明你停止付費之後會怎樣的那一句話。有些 App 會讓保險庫維持可讀，只關掉新的匯入。有些則把整個保險庫鎖死，這表示一張過期的信用卡就能把你自己的照片關在付費牆後面，而原始檔已經不在「照片」App 裡可以退回去。把週訂閱攤到兩年來算，通常就足以結束這場爭論：104 週就算每週金額不高，也會大幅超過多數買斷方案，而 App Store 會在你確認購買之前，就在產品頁面上顯示續訂條款。
在試用期結束前花十分鐘測試
把入圍的 App 都裝起來，每一個都給它三張你不介意失去的照片。匯入之後，強制結束這個 App 再重新打開。照片應該都在。打開飛航模式，再開一次 App：宣稱可以離線使用、卻卡在轉圈圖示上的 App，正在和一台它沒提過的伺服器講話。打開一張照片，確認那是原始檔而不是壓縮過的預覽，放大看細節最容易分辨。最後到「設定」裡 iPhone 的隱私權控制項目中找出這個 App，確認它只索取了它需要的權限。
最後檢查出口。用這個 App 提供的任何方式，把三張照片都匯出回「照片」App：分享表單、相簿匯出、存到「檔案」。順便計時。如果匯出一張照片要按三下，匯出四千張就是你這輩子不會去做的事，而這就是被綁住最實際的定義。把照片從保險庫 App 取回來值得在你交出整個圖庫之前讀，而不是之後。一個通過標示檢查、寫出加密演算法名稱、不需要帳號，而且你一要求就把照片還給你的 App，才值得你付這筆錢。
相關指南
資料來源
常見問題
免費的照片鎖定 App 用起來安全嗎？
有些安全，但免費會改變你必須檢查的東西。免費 App 靠廣告、升級方案或資料養活自己，第一項和第三項都會把第三方程式碼放到你的私人照片旁邊。讀產品頁面上的「App 隱私權」：如果列出「用於追蹤你的資料」或「識別碼」，這個 App 靠的就是知道你的事。付費 App 附帶的免費版是另一回事，標示一樣能回答這個問題。
軍規級加密這個說法有意義嗎？
單看這句話，沒有。那是一句沒有技術定義的行銷用語，一個把你的照片當成普通檔案存放的 App 也照樣能印上去。真正帶有資訊的說法，是演算法和模式的名稱，例如 AES-256-GCM，再加上一句說明金鑰放在哪裡。如果開發者不肯在 App Store 說明或隱私權政策裡寫出演算法名稱，就把加密的說法當成未經證實，而不是當成他們忘了寫。
我該選訂閱制還是買斷制？
決定之前，把兩種方案都攤到兩年來算，並讀清楚過期條款。訂閱制供養的是持續的 iOS 維護，而加密 App 確實需要這個。如果買斷價很高、你又不確定會不會一直用下去，訂閱制比較划算。買斷制則消除了信用卡被拒就把你鎖在自己保險庫外面的風險。比收費方式更重要的，是付款停止時這個 App 會做什麼：只能讀取沒問題，整個封死就有問題。
如果這個 App 從 App Store 下架，我的照片會怎樣？
下架的 App 通常還留在你的 App Store 購買紀錄裡，所以多半可以重新安裝，但不一定：因法律原因被撤下的 App，或開發者帳號已關閉的 App，也可能從那份清單消失。一定會停的是更新，而第一個讓它壞掉的 iOS 版本就是結局。這正是匯出路徑屬於六項檢查之一，而不是一個加分功能的原因。如果你能按幾下就把原始檔取回「照片」App 或「檔案」App，下架只是一點麻煩。如果做不到，那就是損失。