从论坛下载 APK 直接安装，或者装一个上手就索要通讯录、相册权限的免费工具，很多人都是闭眼点「同意」。麻烦在于权限开关并不足以兜住风险：有些应用不给全套授权干脆不启动，有些把权限用途说得含糊不清。真正能把这类应用关进笼子的不是权限面板，而是一个从 Android 5.0 起就存在、却长期只见于企业 IT 部署的功能——工作资料（Work Profile，系统级的第二套独立用户配置）。
MakeUseOf 撰稿人分享了把它当沙盒用的思路：工作资料不是文件夹或桌面分类技巧，而是与主资料并行运行的第二套配置。装在里面的应用有独立的存储、通讯录、文件和账号，看不到主资料的联系人、照片和下载内容；Android 11 及更高版本还禁止工作资料内的应用读取个人资料的短信与彩信。即便它拿到通讯录权限，看到的也是一份空通讯录。
一、原生安卓 15 及以上：开启私密空间
- 进入「设置 → 安全和隐私 → 私密空间」，用主锁屏验证身份后点「设置」。
- 系统会要求登录 Google 账号，建议单独注册一个；国内环境这一步不便，可直接看第二节的机型方案。
- 提示选择解锁方式时选「使用新的锁定方式」，设一个与主锁屏不同的 PIN、图案或密码。
- 完成后入口在应用抽屉最底部；进入其设置打开「锁定后隐藏」，锁定状态下连入口都不显示。
二、国内主流机型：找对应的分身入口
- 华为、荣耀：设置 → 隐私和安全 → 隐私空间。
- 小米、Redmi：设置 → 特色功能 → 手机分身。
- 三星：设置 → 安全和隐私 → 安全文件夹，基于 Knox，需登录三星账号。
- vivo、iQOO：设置 → 隐私 → 原子隐私系统。
- OPPO、一加：设置 → 隐私 → 系统分身。
这些功能与工作资料底层逻辑一致：独立密码、数据互不可见，还能给同一应用装第二份、各自登录不同账号。
三、没有原生入口时用第三方工具
- Shelter、Island 及 Island 的开源分支 Insular 都能充当工作资料的管理者，按屏幕提示走完系统标准配置流程即可，无需 root。
- 建好后既可在其中直接安装新应用，也可把已有应用复制一份进去，副本自带独立数据与登录状态。
四、冻结按钮：不卸载也能让它彻底安静
- 多数机型的快捷设置里有暂停工作资料的开关，关掉后里面的应用停止运行，通知和后台任务一并停下。
- Island 与 Shelter 还能冻结单个应用：登录状态和设置全部保留，但应用不活动，需要时再解冻，相当于「不卸载的卸载」。
注意事项
- 隔离不等于隐身。沙盒里的应用仍能读取设备级信息、仍然联网，也照样记录在该应用内的操作，只是翻不到主资料的账号、通讯录和文件。
- 不想用了可在系统设置里删除整个工作资料，其中应用与数据一并清除，手机其余部分不受影响。
- 若手机已有单位配发的工作资料（应用抽屉底部带「工作」标签、图标带手提箱徽标），那部分归企业管理，不要与自建沙盒混用。
来源：MakeUseOf
