手机安全设置清单：按四类威胁排的 12 项设置，30 分钟能做完
手机是绝大多数人「账号的第二把钥匙」：短信验证码、邮箱找回、支付确认、甚至身份核验都在里面。它丢一次，损失往往比电脑丢一次大得多。但多数人的手机安全设置还停在「设个锁屏密码」，真正决定损失大小的十几项全是默认值。
这份清单按四类真实威胁排序，不按设置菜单顺序：手机丢了、手机被人短暂拿走、屏幕被别人看到、以及手机被远程控制。每一项都给 iOS 与 Android 的路径和验收方法，照着勾完大约 30 分钟。
第一类：手机丢了，别人能不能进去
1. 锁屏用 6 位以上数字，别用图案
4 位 PIN 只有 1 万种组合，配合录像反光和指纹残留，几分钟就能试出来；6 位是 100 万种，强了一个量级。图案锁的问题更直接——屏幕上的油渍会画出轨迹。
- iOS：设置 → 面容 ID 与密码 → 更改密码 → 密码选项 → 6 位数字（或自定义字母数字）；
- Android：设置 → 安全 → 屏幕锁定 → PIN（≥6 位）；
- 验收：锁屏后故意输错 5 次，确认设备进入延时或抹除策略，而不是无限重试。
2. 确认设备加密是开着的
现代 iOS 与 Android 在设置锁屏密码后默认全盘加密，但企业设备、旧机型、被「优化」过的系统可能没开。加密决定了「拆机读闪存」能不能拿到数据。
- iOS：锁屏密码开启即加密，无需额外设置；
- Android：设置 → 安全 → 加密与凭据，确认显示「已加密」；
- 验收：关机重启后第一次解锁必须输入密码（而不是直接进桌面），说明密钥由密码派生。
3. 打开「查找设备」与离线定位
这是丢失后远程锁定、抹除、显示留言的唯一手段，务必在丢之前打开，并记住用的是哪个账号。手机丢了怎么保护账号里的处置顺序，前提就是这一步已经开着。
第二类：手机被短暂拿走
4. 锁屏通知隐藏内容
默认设置下，锁屏会显示「您的验证码是 482913」——拿到手机的人不用解锁就能读完。这是最容易被忽略、也最常被利用的一项。
- iOS：设置 → 通知 → 显示预览 → 解锁时；
- Android：设置 → 通知 → 锁屏通知 → 隐藏敏感内容；
- 验收：锁屏状态下让朋友发一条含数字的消息，确认只显示「1 条新消息」。
5. 关闭锁屏状态下的快捷入口
控制中心能开飞行模式（断掉远程定位）、能连新 Wi-Fi；Siri 能在锁屏时读消息、发信息；钱包能直接刷交通卡和银行卡。
- iOS：设置 → 面容 ID 与密码 → 「锁定时允许访问」里逐项关闭（Siri、回复信息、控制中心等）；
- Android：设置 → 锁屏 → 关闭锁屏快捷方式与语音助手；
- 验收：锁屏后下拉控制中心、长按电源键，确认关键开关不可用。
6. 敏感 App 单独加锁
银行、支付、密码管理器、相册这类应用，除了系统锁屏再加一层（iOS 可用「屏幕使用时间」限制或 App 自带锁；Android 可用安全文件夹或应用锁）。目的是防「手机解锁状态下被别人拿去用几分钟」。
第三类：屏幕被别人看到
7. 关掉输入法的云同步与个性化
输入法会记住你输入的每个词，包括账号、地址、甚至一次性密码。云同步开启时，这些词会离开设备。
- 路径：输入法设置 → 隐私/云同步 → 关闭「同步词库」「个性化推荐」「用户体验计划」；
- 补充：登录密码管理器时切到系统英文键盘，避免候选词记录主密码片段。
8. 收紧「始终允许」的定位与后台权限
「始终允许定位」意味着 App 能在后台持续记录轨迹；麦克风、通讯录、相册的「全部允许」同理。审查原则很简单：这个功能不在前台时，还需要这些权限吗。
- iOS：设置 → 隐私与安全性 → 定位服务，把「始终」改成「使用期间」；
- Android：设置 → 安全与隐私 → 隐私控制 → 权限管理器，逐个权限检查；
- 顺序建议：先卸载不用的 App，再审查剩下的权限——应用越少，审查越简单。
第四类：被远程控制或账号被接管
9. 双因素优先用验证器或 Passkey
短信验证码会被 SIM 交换、被锁屏预览泄露、也会在你换号时变成死结。能换的全换掉，短信只留作兜底。具体路径见两步验证怎么开启。
10. 检查「已登录设备」与「信任的浏览器」
Apple ID、Google 账号、微信、 Telegram 都有设备列表。陌生设备要立刻下线，并顺手改密码——能登上你的账号，说明密码已经泄露过一次。这一步建议每季度做一次。
11. 关掉开发者选项与 USB 调试
Android 的 USB 调试开着，插上电脑就等于交出 shell 权限；「允许安装未知来源」长期开启，则是恶意 App 的主要入口。设置里搜「开发者选项」，不用就关掉整个开关。
12. 警惕描述文件与企业证书
iOS 上安装「描述文件」等于把设备管理权交给对方，常见于「免费看剧」「内测加速器」。路径：设置 → 通用 → VPN 与设备管理，看到不认识的描述文件立即删除。
按时间分配的执行表
| 频率 | 做什么 | 耗时 |
|---|---|---|
| 现在（一次性） | 6 位锁屏密码、隐藏通知预览、关锁屏快捷入口、开查找设备、关 USB 调试 | 10 分钟 |
| 今天 | 审查定位/麦克风/相册权限、关输入法云同步、替换短信双因素、检查已登录设备 | 20 分钟 |
| 每季度 | 重查设备列表、删除不用的 App、检查描述文件与未知来源安装权限 | 10 分钟 |
| 换机/送修前 | 退出账号、关闭查找、备份并抹除；送修只给维修模式，不交密码 | 视情况 |
常见问题
用了 Face ID 还需要 6 位密码吗？
需要。生物识别只是便捷入口，密码才是密钥派生的来源。而且 iOS 在连续失败或重启后只认密码，密码太弱等于把后门留着。
安卓的「应用锁」和系统锁屏有什么区别？
系统锁屏保护整台设备，应用锁只保护单个 App 的启动。前者防丢手机，后者防「手机在解锁状态下被借用」。两者不冲突，敏感 App 建议都开。
手机丢了，先挂失 SIM 还是先改密码？
先远程锁定设备、挂失 SIM（阻断短信验证码），再在另一台设备上改主邮箱密码并下线所有会话。顺序反了会给对方留出收码窗口。
这些设置会不会影响日常使用？
会有一点：锁屏预览关了要多解锁一次、定位改成「使用期间」可能让某些 App 提示重新授权。这些摩擦换来的是「手机被拿走 5 分钟也不会出事」，值得。
小结
手机安全的核心不是装几个安全 App，而是把解锁成本、可见信息、远程控制入口这三件事调到合理值。先把锁屏密码加到 6 位、锁屏预览关掉、查找设备打开，这三步就能消掉大部分真实损失；剩下的按季度复查即可。配套的账号侧动作——双因素与恢复码——可以接着看恢复码怎么保存。