商店頁面不會告訴你這些
照片保險庫的 App Store 頁面往往說同樣的話：私密、加密、在你的 iPhone 上。其中有的 App 會上傳一份副本。有的只是在照片 App 裡藏一個資料夾。有的用已經能解鎖手機的那套 Face ID 來鎖。
匯入任何東西之前，先核對三件事。隱私政策和第一次打開時的畫面，足夠看清其中大部分。
照片會離開這台手機嗎？
問匯入之後檔案去了哪裡。
如果 App 必須連網才能給你看自己的照片，照片就存在別的地方。「在網頁上查看」、透過對方的伺服器把圖片同步到第二台裝置、或者支援表單要求你附上這張照片，都是同一回事。iCloud 照片和多數私密雲端相簿就是這樣工作的。鎖可以是真的，伺服器上的副本仍然可以存在。
另一種做法是把檔案留在手機上，並在那裡加密。對方沒有可以交出去的照片伺服器。對照片本身，要核對的就是這一點。
「沒有伺服器」是更嚴的說法，很多裝置端保險庫仍然做不到。分析和訂閱的程式常常會對外通訊。這些通訊不是你的照片。它們也不是「什麼都不離開這台手機」。一份寫明上傳了什麼的隱私政策（照片、檔名、縮圖，或者只有收據和匿名事件）才用得上。「我們非常重視你的隱私」不是答案。
它要求帳號嗎？
帳號是放在照片旁邊的身分。電子郵件、電話號碼，或透過 Apple 登入，意味著對方可以把這個保險庫綁到一個人身上，從他們那邊重置存取，並在你刪除 App 之後繼續保留圖庫。
沒有帳號是另一種取捨。他們沒有什麼可以重置，如果你弄丟了手機，又不再掌握備份密碼，你也沒有什麼可以復原。不想把照片綁在登入上時，這通常是更好的條件。如果你本來想在雲端留一份副本，這就是更差的條件。
第一屏會告訴你。如果必須先建立登入，圖庫才打得開，照片就是掛在帳號上的。
這把鎖是手機的鎖，還是單獨的一把？
iPhone 的隱藏相簿是前一種的常見版本。隱藏一張照片，會把它移出主網格。打開隱藏相簿，用的仍是解鎖手機其餘部分的 Face ID 或密碼。檔案留在照片圖庫裡；打開了 iCloud 照片的話，它會跟著這個圖庫同步。用來讓一張照片不出現在隨便滑動的畫面裡，這夠用。它不會增加第二道秘密。這個對比的長版本在為什麼隱藏相簿不是加密保險庫。
單獨的保險庫還會再做兩件事。照片離開照片 App，所以不在相機膠卷裡，也不會跟著 iCloud 照片走。讀取它需要一把不是手機密碼的金鑰：自己的 PIN，或者你可以關掉的生物辨識。加密必須落在檔案上。一個裝滿普通照片的資料夾，前面只擋著一個密碼，那只是一個鎖定畫面。
用同樣的核對看 Privately
照片。 你匯入的每張照片都在 iPhone 上用 AES-256-GCM 加密。沒有照片上傳，我們也打不開這些檔案。另外還有兩種連線，哪一種都不攜帶照片：經 Firebase 的匿名使用事件（沒有廣告識別碼，沒有檔名），以及經 RevenueCat 的訂閱狀態，這樣 App 才能判斷 Pro 是否有效。一台從不打開網路連線的手機，是另一個產品。
帳號。 沒有。沒有電子郵件，沒有密碼，沒有個人資料。如果弄丟裝置時，沒有一份你仍然知道密碼的備份，照片就沒了。這就是「沒有帳號」的代價。
鎖。 匯入的照片不再位於 iOS 照片 App 裡，所以不會跟著 iCloud 照片走。鎖定相簿增加第二道檢查，Face ID、Touch ID 或 PIN，並且在通過這道檢查之前，不會出現在 App 內的圖庫裡。相簿鎖定屬於 Pro。免費的部分包括匯入、檢視，以及整理最多 3 個相簿和 3 個標籤，加上基本搜尋和最近刪除。關掉 Face ID、只留 PIN（偏執模式）也屬於 Pro。給匯入的檔案加密，不在訂閱後面。這件事如何疊在 iPhone 自己的加密之上，寫在 Secure Enclave 這篇文章裡。
如果你要的是「不在相機膠卷裡，也不在和訊息同一套 Face ID 後面」，做到這一點的是那把單獨的鎖，而它是付費的部分。
Privately 可以免費下載。Pro 是按週或按年的訂閱，沒有免費試用。你所在地區的價格顯示在 App 裡的訂閱卡片上。