为什么没有网站能扫描你的手机

网页运行在浏览器内部的沙盒里。它无法列出你安装的应用，无法读取你的文件，看不到正在运行的进程，也无法查看系统设置。这不是什么聪明的网站能绕过去的限制，而是所有现代浏览器最根本的安全模型。如果网页真能做到这些，浏览器本身就成了漏洞。

所以，当一个网站播放扫描动画并宣布发现威胁时，其实什么都没有扫描。进度条只是一张动图。接下来通常是以下几种情况之一：

导流赚佣金。 那些“威胁”会把你引向一个付费订阅，网站从中抽取佣金。
收集数据。 你输入的手机号现在进了一份名单。正在为被监控而担心的人的手机号，在商业上很值钱。
诱导安装。 网站提示你安装一个应用来清除威胁。在 Android 上，这个应用可能是绕过 Play 商店侧载的，并且索要的权限是你在不害怕的时候绝不会给的。

最后一种最恶劣：一个声称能找出间谍软件的网站，自己就在给你装间谍软件。

五秒钟识别这类网站。 它要你的手机号。你还没安装或连接任何东西，它就给出结果。它在没有接触设备的情况下点名具体威胁。它用倒计时制造紧迫感。它说不出自己检查了什么，因为诚实的答案是：什么也没检查。

免费检测真正能做什么

其实能做的不少，前提是它运行在真正有权限访问手机的地方。

你自己动手的检查。 免费，而且能发现大多数商业跟踪软件，因为这类软件需要的权限会出现在普通的设置页面里。

Android 上：Play Protect（包括它是否被人关闭过）、无障碍服务、通知使用权、设备管理应用、特殊应用权限，以及显示系统应用后的完整应用列表。iPhone 上：“VPN 与设备管理”下的配置描述文件、Apple ID 的设备列表、应用权限，以及越狱留下的痕迹。

我们的分步指南：Android 和 iPhone。

系统自带的保护。 Play Protect 会免费扫描 Android 上已安装的应用。Apple 会向它认为遭到雇佣型间谍软件攻击的人发送威胁通知，而锁定模式是免费的，对这类攻击确实有效。

免费的取证工具。 Amnesty International 的安全实验室发布了 Mobile Verification Toolkit，它可以对照已公开的入侵指标，分析 iPhone 备份或 Android 设备。它分文不取，而且是货真价实的工具，正是那些让这一话题进入公众视野的调查所使用的工具。不过它是命令行工具，默认你会安装 Python 软件包、能看懂取证输出。我们为它写了一篇实话实说的指南：MVT 及更简单的替代方案。

Haris Shield 的免费许可证。 2026 年 12 月 31 日之前，任何人都可以通过电子邮件免费获取一个包含 50 次扫描的许可证密钥：用数据线连接手机，由电脑完成分析，你会拿到完整报告。不需要填写银行卡，之后也不会扣任何费用。在那之后，扫描按套餐出售，当前条款以价格页面为准。我们宁愿把话说清楚，也不想暗示它永久免费，日后让你吃惊。

免费做不到什么

把局限讲清楚，正是这篇文章的意义所在。

没有任何免费工具能可靠地发现国家级间谍软件。 像 Pegasus 这样的雇佣型工具利用的是操作系统深处的漏洞，有时不留任何图标，有时重启后就不复存在，而且一直有人维护，专门用来躲避检测。MVT 是最好的免费方案，但即便是它，也依赖于攻击活动被发现之后才公布的指标。如果你有具体理由认为自己是攻击目标，免费工具只是起点，而不是结论——请看检查 iPhone 是否中了 Pegasus。

App Store 里没有能在 iPhone 上起作用的免费扫描工具。 iOS 不允许任何应用扫描系统，花多少钱都一样。无论免费还是付费，iPhone 上的杀毒应用只是在检查你的 Wi-Fi，并提醒你避开不良网站。

免费工具很少能给你留存证据。 如果你可能需要向别人展示发现了什么——律师、警察、援助机构的工作人员——一张设置页面的截图分量很轻。这通常是付费工具值得花钱的地方，最好在需要之前就知道这一点，而不是事后才知道。

接下来十分钟就能做的免费检查

Android 上检查 Play Protect，并留意它是否曾被关闭。
无障碍服务、通知使用权、设备管理应用。iPhone 上检查配置描述文件。
你的 Apple ID 或 Google 账号的设备列表，以及账号上绑定的恢复邮箱和手机号。
显示系统应用后的完整应用列表，留意那些和普通工具重名的应用。
位置共享：查找、家人共享、Google 地图位置共享、Family Link。
电池和流量只作为辅助参考，绝不能当作定论。

这些检查不花一分钱，能排除绝大多数真实情况。

如果你发现了什么

如果你怀疑的人就在你身边，先不要删除它。许多监控产品在停止工作时会通知安装它的人，而且删除软件会毁掉证据。先寻求建议，用一台对方从未接触过的设备。跟踪软件：迹象，以及不该做的事讲解了怎样的处理顺序能让你最安全。

简短的回答

没有任何网站能扫描你的手机。一个从未接触你的设备就给出结果的页面，其实什么也没发现，它要么在向你推销，要么在收集你的信息。

真正的免费检测是存在的：你自己动手的设置检查、Play Protect、Apple 的威胁通知和锁定模式、适合有技术底子的人使用的 MVT，以及在 2026 年底之前 Haris Shield 的免费许可证。免费工具无法可靠给你的，是面对国家级间谍软件时的确定性，至于通过 iPhone 应用来检测，免费工具什么也给不了。

资料来源

Google，Play Protect：support.google.com/googleplay/answer/2812853
Apple，关于 Apple 威胁通知：support.apple.com/en-us/102174
Apple，关于锁定模式：support.apple.com/en-us/105120
Amnesty International 安全实验室，Mobile Verification Toolkit：mvt.re
电子前哨基金会（Electronic Frontier Foundation），监控自卫指南（Surveillance Self-Defense）：ssd.eff.org

免费检查手机间谍软件：哪些方法有用，哪些是骗局