interplains/Zero-Breach-Toolkit

如果你怀疑设备被盯上、又请不起取证实验室，值得把这个工具当作第一步筛查看待；但请把它当成判断的其中一项输入，而不是“设备干净”的证明。项目本身对边界的说明相当明确：README 建议若正被针对性攻击，先联系专业求助热线，不必先运行工具。

解决什么问题

当一个人可能成为攻击目标时，他想知道自己手机或电脑上是否出现商业间谍软件的已知痕迹。找取证实验室既慢又贵，普通杀毒软件也不是围绕公开的间谍软件指标列表设计的。这个工具改变的是这一步：装好 Python、下载文件夹后，在菜单里选择检查本机、连接的 Android 手机或 iPhone 备份，最后得到一份报告，写明匹配到了什么、哪些地方没能检查。

有什么不同

它的设计重点更偏向证据处理，而不是检测范围。扫描是只读的：不修改原始证据和系统设置，只写临时数据库快照和你主动要求的报告。普通扫描不发起网络请求，扫描期间会阻断 Python 的网络调用，并拒绝重定向路径。这降低了扫描本身暴露“谁在检查”或损坏被查数据的可能，但 README 也明确说这不是操作系统级网络沙箱，具体边界要看隐私说明。

指标列表可以用 --update 刷新，这是唯一需要联网的步骤，建议每隔几周做一次；不更新时只用很小的一套内置指标。Android 采集是另一条路径，征得同意后下载固定版本的官方采集器。代价是：它本质上是拿已公布的列表做痕迹匹配，而非完整取证；每份报告都会说明证据强度并列出未能检查的位置，干净结果从不被当作安全证明。

谁值得试

比较合适的是记者、活动人士，或帮亲友排查的普通人：手上有 Windows 笔记本、Mac 或带数据线的手机，能照着分步指南操作，并保存报告交给专业人士。README 面向没有技术经验的读者，故障表也覆盖了常见安装错误。不合适的是期待对 iPhone 自动给出结论的人：iPhone 路径检查的是本机加密备份，而不是手机本身，报告里“未能检查的位置”是理解结果的关键。

Mac 路径还要求给“终端”完全磁盘访问权限；没有它，Safari 记录和部分文件夹会被跳过并标为未检查。Android 路径则需要在手机上打开 USB 调试。

使用条件与边界

需要 Python 3.8 或更新版本，不需要管理员权限，也不需要额外安装包；Windows 用户安装时要勾选 PATH 选项。配置按电脑分别进行，Mac 用户扫描前必须给终端完全磁盘访问权限。扫描时应关闭浏览器和聊天软件；刷新指标是每隔几周要做的持续维护。完整报告可能包含用户名、文件路径、浏览记录、短信发送者和消息摘录，应妥善保管；摘要 JSON 会去掉痕迹文本和指标值，但它不是取证证据。README 按平台给出分步指南，包括 Windows、Mac、Android 和 iPhone，隐私说明 则讲清了更新与采集命令会下载什么。

HotRepo 点评

HotRepo 在 2026-10-28 记录到该项目共有 664 颗星，并在 Python 新项目榜上排第 12 名；这只是一个带日期的快照，不是增长测量，项目当时才创建两天。可比的每日记录不足，无法判断热度能否持续，星数也说明不了指标列表会多快跟上新的间谍软件。使用前值得检查 --update 如何选取指标来源，以及内置指标的更新节奏。