一个安卓App,体积15MB,能打开PDF、Word、Excel、PPT、照片、视频、音频、Markdown和代码文件,却一个系统权限都没申请——连联网权限都没要。
这在安卓生态里挺反常。大多数文件查看器要么捆绑一堆权限,要么把文档偷偷传到云端"渲染"一圈再显示回来。开源项目 Gander 就是奔着这个反常点做的:它想证明,看文件这件事,完全可以不联网。
发生了什么
- 体积约 15MB,支持 Android 8.0 及以上,MIT协议开源
- 一个App打通文档、表格、幻灯片、图片、音视频、Markdown、代码,约8类格式
- 零系统权限,不要INTERNET权限,没有广告、追踪、账号系统
它靠什么拿到你的文件?靠安卓自带的 Storage Access Framework(存储访问框架)和系统"打开方式"分享入口。
你从相册、聊天软件或文件管理器里把文件分享给它,系统只把这一个文件的访问权交给它,别的它碰不到。
Office文档在一个被锁死的WebView里渲染。所有请求都被WebViewAssetLoader拦截:JS库从应用自带资源加载,文档从content URI流式读取,网络栈全程不启用。
文件夹浏览走ACTION_OPEN_DOCUMENT_TREE一次性系统授权——这不是"完全不需要用户操作",只是把"常驻应用权限"换成了"临时文件级授权"。
安卓系统本身还拒绝把Downloads根目录整个授权给任何App,只能选子文件夹、Documents或DCIM。这是系统的限制,不是Gander的选择。
支持什么,不支持什么
几个关键数字放一起看更清楚:
| 类型 | 情况 |
|---|---|
| PDF、DOCX、XLSX、PPTX | 支持,本地WebView渲染 |
| 旧版 .doc、.ppt | 不支持,项目方称没有可靠离线方案 |
| 图片、音视频、Markdown、代码 | 支持 |
旧版二进制Office格式打不开,想用得先转成新格式。项目方也没公布大文件或复杂排版下的渲染性能数据,目前只能看后续用户反馈。
安装现在只能去GitHub Releases侧载APK。Play Protect大概率会弹"未知开发者"警告——这是没有商店签名的开源软件的常态。
项目在发布页放了签名指纹,可以自己核对;想省心更新,可以配合Obtainium做免商店自动更新提醒。
装不装,取决于你是谁:
| 人群 | 建议 |
|---|---|
| 常处理敏感文件、不想联网渲染的人 | 值得装,零INTERNET权限是真收益 |
| 主力还在用老版.doc/.ppt办公 | 先别装,格式不兼容 |
| 怕折腾、没验证过APK签名的普通用户 | 先观望,等它上架应用商店再说 |
| 熟悉GitHub侧载、愿意手动核验签名的开发者 | 可以先用,顺手帮项目挑渲染问题 |
我的判断
大多数文件查看器做得又大又复杂,不是因为文档本身复杂。是它们想顺手接云盘、想塞推荐、想收集使用数据反哺增长。方便的代价,是把你的存储权限和网络流量变成产品的燃料。
Gander做的事,是把这套逻辑砍掉,用工程手段证明:文档、图片、音视频这些常见格式,本地渲染完全够用。
这套克制不是安卓上第一次出现。Unix哲学讲"一个程序只做一件事,把它做好"——Gander像是把这句话原样搬到手机上:不接云、不做账号体系、不惦记数据,只干"打开一个文件"这一件事。
《道德经》讲"少则得,多则惑"。Gander的产品逻辑正是这个意思:少要一个权限,少发一次网络请求,反而更让人放心。
但零权限不等于零成本。真正埋单的是兼容性和信任成本:旧版Office打不开,复杂排版靠WebView沙盒渲染够不够稳,项目也没给出实际使用中的数据。
分发上更麻烦。没上架Google Play,想用的人得自己去GitHub下载APK、无视安全警告、手动核验签名。这几步对开发者不难,对绝大多数普通安卓用户,可能就止步在"Play Protect警告"那一屏。
真正决定Gander能不能变成日常工具的,不是它能不能打开你的文件,是它能不能把这几步安装门槛降到普通用户愿意迈的程度。接下来值得盯的,是它会不会上架应用商店,以及社区反馈里旧格式和复杂文档的渲染问题会不会持续修下去。