安全审查将可确认事实、待验证项目和用户可采取的措施分开记录。
品牌名称和用户提供的入口域名。它们是核对起点，不是安全认证。
运营主体、客户端签名、权限、隐私政策版本、日志范围、DNS与断线保护。
核对HTTPS与开发者；拒绝无关权限；安装前保存网络设置；先用非敏感环境测试。
在证据不足时保持未知状态，不用“官网”“加密”或“高速”等词推导绝对安全。
普通公共网络、企业设备和处理敏感资料面对的风险不同。审查前先写明需要保护的数据、可能的观察者、设备控制权和问题发生后的影响。没有威胁模型，“安全”只能变成空泛标签。同一项检查通过，也不能自动满足所有场景；企业管理设备还需要遵循组织政策。
记录入口只是第一步。还要检查跳转目标、HTTPS状态、安装文件签名或应用商店开发者、版本更新来源和运营信息。品牌可能更换域名，但陌生入口也可能是仿冒页面。出现证书、开发者或下载目标变化时暂停运行文件，通过多个已知渠道交叉确认。
安装提示用于发现权限范围，实际测试用于判断连接后的行为。记录网络配置、后台运行、通知以及与核心功能无关的敏感权限；连接后检查DNS、断线保护、切网恢复和退出状态。拒绝额外权限后若核心功能仍正常，应维持最小授权；无法解释的请求标记为风险而不是默认接受。
缺少公开政策、审计或可重复测试时，正确状态是未知。审查页明确列出需要补充的证据和用户可以采取的措施，不根据品牌知名度推导结论。版本、政策或主体发生变化后重新检查，旧结果保留日期。安全页面的价值在于缩小未知范围，而不是给出永久保证。
订阅前确认付款页面域名、金额、币种、服务期限、自动续订和取消入口，不在来源不明的页面重复提交验证码。账户应使用独立密码；若支持多因素验证则优先启用。申请退款或联系客服时只提供处理订单所需信息，不发送密码、完整银行卡信息或系统远程控制权限。