商店页面不会告诉你这些
照片保险库的 App Store 页面往往说同样的话：私密、加密、在你的 iPhone 上。其中有的应用会上传一份副本。有的只是在照片 App 里藏一个文件夹。有的用已经能解锁手机的那套 Face ID 来锁。
导入任何东西之前，先核对三件事。隐私政策和第一次打开时的画面，足够看清其中大部分。
照片会离开这台手机吗？
问导入之后文件去了哪里。
如果应用必须连网才能给你看自己的照片，照片就存在别的地方。「在网页上查看」、通过对方的服务器把图片同步到第二台设备、或者支持表单要求你附上这张照片，都是同一回事。iCloud 照片和多数私密云相册就是这样工作的。锁可以是真的，服务器上的副本仍然可以存在。
另一种做法是把文件留在手机上，并在那里加密。对方没有可以交出去的照片服务器。对照片本身，要核对的就是这一点。
「没有服务器」是更严的说法，很多设备端保险库仍然做不到。分析和订阅的代码常常会对外通信。这些通信不是你的照片。它们也不是「什么都不离开这台手机」。一份写明上传了什么的隐私政策（照片、文件名、缩略图，或者只有收据和匿名事件）才用得上。「我们非常重视你的隐私」不是答案。
它要求账号吗？
账号是放在照片旁边的身份。邮箱、电话号码，或通过 Apple 登录，意味着对方可以把这个保险库绑到一个人身上，从他们那边重置访问，并在你删除应用之后继续保留图库。
没有账号是另一种取舍。他们没有什么可以重置，如果你弄丢了手机，又不再掌握备份密码，你也没有什么可以恢复。不想把照片绑在登录上时，这通常是更好的条件。如果你本来想在云端留一份副本，这就是更差的条件。
第一屏会告诉你。如果必须先创建登录，图库才打得开，照片就是挂在账号上的。
这把锁是手机的锁，还是单独的一把？
iPhone 的隐藏相册是前一种的常见版本。隐藏一张照片，会把它移出主网格。打开隐藏相册，用的仍是解锁手机其余部分的 Face ID 或密码。文件留在照片图库里；打开了 iCloud 照片的话，它会跟着这个图库同步。用来让一张照片不出现在随便滑动的画面里，这够用。它不会增加第二道秘密。这个对比的长版本在为什么隐藏相册不是加密保险库。
单独的保险库还会再做两件事。照片离开照片 App，所以不在相机胶卷里，也不会跟着 iCloud 照片走。读取它需要一把不是手机密码的密钥：自己的 PIN，或者你可以关掉的生物识别。加密必须落在文件上。一文件夹普通照片，前面只挡着一个密码，那只是一个锁屏。
用同样的核对看 Privately
照片。 你导入的每张照片都在 iPhone 上用 AES-256-GCM 加密。没有照片上传，我们也打不开这些文件。另外还有两种连接，哪一种都不携带照片：经 Firebase 的匿名使用事件（没有广告标识符，没有文件名），以及经 RevenueCat 的订阅状态，这样应用才能判断 Pro 是否有效。一台从不打开网络连接的手机，是另一个产品。
账号。 没有。没有邮箱，没有密码，没有个人资料。如果弄丢设备时，没有一份你仍然知道密码的备份，照片就没了。这就是「没有账号」的代价。
锁。 导入的照片不再位于 iOS 照片 App 里，所以不会跟着 iCloud 照片走。锁定相册增加第二道检查，Face ID、Touch ID 或 PIN，并且在通过这道检查之前，不会出现在应用内的图库里。相册锁定属于 Pro。免费的部分包括导入、查看，以及整理最多 3 个相册和 3 个标签，加上基本搜索和最近删除。关掉 Face ID、只留 PIN（偏执模式）也属于 Pro。给导入的文件加密，不在订阅后面。这件事如何叠在 iPhone 自己的加密之上，写在 Secure Enclave 这篇文章里。
如果你要的是「不在相机胶卷里，也不在和信息同一套 Face ID 后面」，做到这一点的是那把单独的锁，而它是付费的部分。
Privately 可以免费下载。Pro 是按周或按年的订阅，没有免费试用。你所在地区的价格显示在应用里的订阅卡片上。