信任与安全

FlatPark 的整个模式都是重新打包官方下载产物，而不是重新构建它们。下面准确说明这对你安装的内容意味着什么。

仅使用 extra-data

FlatPark 会在安装时下载厂商自己的发布产物，并将其封装为 Flatpak。你运行的是官方 binary，而不是 FlatPark 重新构建的版本。当厂商发布的是 AppImage 时，FlatPark 会离线解包其末尾附带的文件系统——AppImage 只被读取、绝不执行，也不涉及 FUSE。

有些软件包包含少量厂商下载产物之外的内容，例如 wrapper 脚本，或 Flatpak runtime 没有提供的库（比如托盘图标库）。共享的支持库来自 FlatPark 经过审核的 flatpark/prebuilt repo，由固定源码构建。这些只是应用外围的打包支撑，不会替换或修改厂商的 binary。

固定并签名

每个发布版本都在 manifest 中按 sha256 和大小固定，因此构建过程无法悄悄替换 binary。由于固定项指定了精确 checksum，即使厂商悄悄更改某个 URL 背后的文件，变更也不会传递给你——构建反而会失败。每日检查会发现新的 upstream 发布版本，并新建 Pull Request 重新固定版本，再由维护者审核和合并。

发布的 repo 使用 GPG 签名，客户端会在安装和更新时验证该签名。

严格的 sandbox

FlatPark 倾向使用仍能让应用正常工作的最少 finish-args，并避免 --filesystem=home 这类范围宽泛的授权。每个应用页面都会列出其确切权限，并附有通俗易懂的风险标签，让你能在安装前了解应用可以访问哪些内容。

应用并非绝对需要的功能默认保持关闭。如果应用获得更宽泛的权限后可以使用更多功能，其页面会记录用于授权的 flatpak override 命令，让选择权留在你手中——请参阅用户指南。

社区软件包不代表认可

FlatPark 是独立项目，与其打包的应用没有关联。应用在此出现并不代表其厂商认可该软件包，除非应用自己的页面明确说明。每个软件包都会链接到 upstream 源码和网站，供你自行核实来源。

验证你安装的内容