我寫過幾年行動端程式，所以朋友拿娛樂城 APP 給我看的時候，我第一個動作不是開遊戲，是去系統設定看它要了哪些權限。有一次看到一個 APP 要「讀取簡訊」和「存取聯絡人」，朋友說「它說是為了自動填驗證碼」。我把那支 APP 解開看了一下，它確實是一個包了殼的瀏覽器，而遊戲本身跟用 Chrome 開一模一樣。那它要我的聯絡人幹嘛？這篇就是從那個問題開始。
TL;DR
- 多數娛樂城 APP 是 WebView 包殼：遊戲、RTP、結果都在伺服器端，跟網頁版完全相同。你多拿到的只有推播和一堆權限。
- Apple 5.3.4 與 Google Play 博弈政策都要求當地執照才能上架，所以台灣玩家拿到的幾乎全是側載安裝檔，繞過了商店審查與預設的安全掃描。
- 檢查清單：看權限（聯絡人／簡訊／位置／相片一律關）、看來源（網址憑證、檔案雜湊）、看它關掉權限後能不能跑。不能回答「為什麼需要」的權限，就是不需要。
APP 跟網頁版到底差在哪：一張表講完
先拆掉一個誤解：很多人以為 APP「比較穩」「比較不會卡」「有獨家優惠」。前兩個有時候是真的（快取），第三個是行銷。真正的差異是：
| 項目 | APP（多為 WebView 包殼） | 網頁版 |
|---|---|---|
| 遊戲內容與 RTP | 相同，伺服器決定 | 相同 |
| 載入速度 | 略快（本地快取） | 第一次較慢 |
| 推播通知 | 有（這是它想要你裝的主因） | 幾乎沒有 |
| 權限範圍 | 可申請聯絡人、簡訊、位置、相片、裝置識別碼 | 受瀏覽器沙盒限制 |
| 更新 | 要重新下載安裝檔 | 自動最新 |
| 來源驗證 | 側載無商店審查 | 看網址憑證即可 |
結論在最後兩行：APP 給平台的能力遠大於網頁，而你能驗證它的手段卻少得多。遊戲的數學在伺服器，這點在RNG：老虎機怎麼運作講過，你用什麼裝置打開都不會改變一台 96% 的機台。
為什麼你拿到的幾乎都是側載檔
這不是平台偷懶，是商店規則。Apple 的 App Store 審查指南 5.3.4 寫得很明確：提供真錢博弈的 App 必須在每一個可使用的地區持有必要的執照與許可、必須做地理限制，而且不得用 App 內購買來買籌碼。Google Play 的真錢博弈政策同樣要求開發者是政府核准或持照業者，每個發行的國家或地區都要有有效執照，並阻擋執照未涵蓋地區的存取。
台灣沒有發線上博弈執照，所以沒有一家面向台灣玩家的娛樂城能符合這兩條。他們的選擇只剩：Android 給你 APK 檔自己安裝；iOS 用企業簽章或測試發佈管道繞過商店。這兩條路的共同點是跳過了商店的審查、惡意軟體掃描與開發者身份驗證。Google 自己的說明頁講得很白：Play Protect 預設會掃描商店內的 App，對商店外安裝的 App 則是「可能會請你把未知 App 傳送給 Google 分析」——是選擇性的、事後的。
我把一支朋友給的 APK 丟進反編譯工具看了一下（只看結構，沒有碰任何帳號）。主程式不到兩百行，就是一個 WebView 載入一個網址，外加推播 SDK、裝置指紋 SDK、以及三個我查不出用途的分析套件。遊戲程式碼？零行。全部在網頁上。所以那支 APP 的功能是：開一個瀏覽器，然後把你的裝置資訊送到幾個地方。
自己檢查的清單：權限、來源、行為
我沒有逐家測試任何平台的 APP，以下是方法，你拿到任何一支都可以照做：
1. 權限（安裝後第一件事） 到系統設定看它要了什麼。對照這個原則：一個瀏覽器包殼需要的只有網路。以下任何一項都該問「為什麼」：
- 聯絡人：沒有任何合理理由。
- 簡訊：「自動填驗證碼」在 Android 已經有不需要簡訊權限的 SMS Retriever 機制，要整個簡訊權限是過度索取。
- 位置：地理限制可以用 IP 粗略判斷，精確定位是過度索取。
- 相片／檔案：上傳證件可以用系統的檔案選取器，不需要整個相簿的讀取權。
- 安裝其他應用程式：這是惡意軟體的典型特徵。
2. 來源 下載頁的網址用的是不是 HTTPS、憑證是不是發給那個網域（點瀏覽器的鎖頭看）；安裝檔有沒有提供雜湊值（SHA-256）讓你比對；iOS 的企業簽章是誰的名字。這些都沒有，代表你完全無法確認手上的檔案是不是平台給的那個。
3. 行為 把上面那些權限全部關掉，再開 APP。如果它照常運作，那些權限本來就不需要；如果它拒絕執行，那它把「拿你的資料」當成使用條件，這是答案。
更完整的平台檢查（不只 APP）在娛樂城安全檢查清單。
我的建議：用「加到主畫面」取代 APP
iOS Safari 和 Android Chrome 都有「加到主畫面」，把網頁版做成一個桌面圖示，開起來全螢幕、沒有網址列，體驗跟 APP 差不多，但：
- 沒有額外權限，受瀏覽器沙盒保護。
- 永遠是最新版，不用下載陌生檔案。
- 要「刪除」就是刪一個書籤，不留任何東西。
如果平台的網頁版做得很差（載入慢、常斷線、手機版面亂），那是平台工程品質的問題，不是你該用 APP 來補的理由——它反而是個訊號：連公開的網頁都做不好的團隊，你要把聯絡人權限交給他們嗎？
我自己的手機上沒有任何娛樂城 APP，也不會有。不是因為道德立場，是我當過開發者，知道一支 APP 在背景能做的事比使用者想像的多很多：裝置識別碼、已安裝的其他 App 清單、網路環境、使用時段。這些資料對平台的價值在於行銷與風控，對你的價值是零，風險卻是你在扛。網頁版就是打開、玩、關掉，乾淨。
常見問題
娛樂城 APP 跟網頁版的遊戲有差嗎？RTP 會不同嗎？ 絕大多數 APP 是 WebView 包殼，載入同一個網頁遊戲，RTP 和結果都由伺服器決定。APP 多出來的是推播、生物辨識登入、快取，以及它向你要的權限。
為什麼娛樂城 APP 幾乎都要我「側載」安裝？ Apple 5.3.4 和 Google Play 的真錢博弈政策都要求當地執照並做地理限制。沒有台灣執照的平台無法上架，只能給你安裝檔，這繞過了商店的審查與掃描。
側載安裝檔最大的風險是什麼？ 來源無法驗證、沒有商店審查與預設掃描、每次更新都要再下載陌生檔案。加上 APP 能申請遠超過網頁的權限，風險是疊加的。
那要怎麼玩比較安全？ 能用網頁版就用網頁版，用「加到主畫面」取代 APP。真的要裝，先把聯絡人、簡訊、位置、相片權限全關，看它還能不能跑。
延伸閱讀
- 娛樂城安全檢查清單：APP 只是其中一項，完整的平台檢查在這。
- 娛樂城出金技巧：怎麼自己判斷：裝了 APP、存了錢之後最重要的事。
- 娛樂城安全性檢查：憑證、加密、帳號保護的技術細節。
- RNG：老虎機怎麼運作：為什麼裝置不影響結果。