一次稀里糊涂的下载
我玩Steam有些年头了，库存里攒了不少饰品，偶尔也靠市场交易赚点零花钱。去年夏天，我出差在外，酒店里没有电脑，却突然想看看一个交易报价的进展。摸出手机，才发现自己竟然没装Steam的手机客户端。我随手在浏览器里打了“Steam手机版下载”，搜索结果第一位就是个叫“安软市场”的平台。页面做得很干净，写着“官方下载”，旁边还标注着“500万次安装”。我一看，觉得这量这么大，肯定没问题，就没多想，直接点了下载。
APK下载得很快，安装也很顺利。图标和官方一模一样，名字就叫“Steam”。我输完账号、密码，点登录的时候，手机忽然黑了一下，然后弹出一个权限请求：要求获取我的“通讯录”和“短信”访问权。那一瞬间，我感觉不太对劲——我手机上其他正规App从没有这么明目张胆要这些权限的。我犹豫了一下，点了拒绝。
冷汗上来了
登录失败，界面直接闪退了。我赶紧去应用信息里看了一眼，开发者名字不是什么Valve，而是一串陌生的英文字符。我又仔细对比一下权限列表：这个假App竟然还申请了“拍照”、“录音”、“读取设备ID”等一系列敏感权限。而后来我从官方渠道下载的真Steam App，权限干干净净，只有网络和偶尔的文件存储。我心里一阵后怕，要是刚才我点了同意，通讯录、验证码全被撸走，我Steam账户那点家当估计早被搬空了。
- 假App权限：读取联系人、发送短信、拍照、录音、读取手机状态
- 真App权限：仅网络连接、可选存储空间（用于二维码缓存）
我立刻卸载了那个叫“Steam”的假应用，然后跑到酒店前台借了台电脑，登上Steam改了密码、撤销了所有API密钥，并确认没有交易异常。那一刻，我感觉自己像刚从悬崖边退回来，后背全是汗。
安软市场到底是个什么市场
事后我特意去查了查这个“安软市场”。它并不是什么官方应用商店，而是国内众多第三方安卓市场中的一个。这类平台的审核门槛很低，很多上传者可以随意冒充知名开发者。对于Steam这样在国内没有直接代理的国外平台，它们更不会花精力去核实。我在那个市场的评论区看到不少用户留言说是正版，现在想想，那些评论可能也是刷出来的。很多新手玩家图方便，就和之前的我一样直接在安软市场下载，等于把账号密码拱手送人。
我现在的下载习惯
那件事后，我给自己立了个死规矩：凡是涉及账号登录的软件，一律从官网或系统自带应用商店下载。Steam手机版我后来是直接去Steam官网，用手机扫了底部的二维码安装的。安卓机也可以去Google Play搜“Steam App”，苹果用户自然走App Store。如果实在要用国内商店，我也一定会认准“Valve Corporation”这个开发主体，权限不对直接放弃安装。
现在每次看到有人安利“安软市场XX下载”，我都会想起那个夏天的晚上。我庆幸自己那时候多留了个心眼，没有因为贪方便而酿成大祸。我的库存还在，账号安全，这才是最重要的。
