把 App 图标藏起来，不等于这台机器装不了 App：把「入口可见性」和「安装通道」的三项配置、三个验收入口讲清楚

先给结论：隐藏图标和禁止安装在配置里是两个独立的开关。前者改的是入口可见性——主屏与资源库里看不见那个图标；后者改的是安装能力——安装包能不能落地。只做隐藏、不做禁止，机器照样装得上 App，只是使用者得换一个入口去找。

一、两个开关改的不是同一件事

隐藏图标改的是入口可见性

隐藏一项配置下发之后，设备的表现是：这个应用在主屏和应用资源库里不再出现，搜索结果里也可能被过滤掉。

但应用本身还在。它被隐藏的是入口，不是存在。也就是说，只要还有别的路径能发起安装或唤起，这个应用就能被用起来。

禁止安装改的是安装能力

禁止安装配置下发之后，设备的表现是：从应用商店发起的安装会被拦下，使用者拿到的是一个不允许的提示，而不是安装进度。

它改的是安装这个动作能不能发生。图标看不看得见，不由这个开关决定。

为什么只做前一项会留口子

机制上的原因是：两个开关作用在链路的两个不同位置。

隐藏图标作用在展示层，是设备决定「要不要把这个图标画出来」；禁止安装作用在安装执行层，是设备决定「要不要让这个安装包落地」。展示层在前，安装执行层在后，前者不约束后者。

依赖关系的方向是单向的：禁止安装了，隐藏不隐藏图标都不影响结果；只隐藏图标，安装通道仍然开着。所以两个开关的关系不是二选一，是都要配。

二、第三个开关：企业级分发通道

商店之外的另一条安装路

除了应用商店，还有一条安装路径容易被漏掉——通过网页或描述文件拉起的企业级分发安装。这条路径不走商店，因此「禁止商店安装」这一类开关未必覆盖到它。

对应地，配置里还有一个独立项：是否允许企业级分发方式安装应用。它和前两个开关同层，互不替代。

之所以要把这一项单列出来，是因为它的入口形态完全不同：不需要打开商店，只需要在一个浏览器里点一个链接，或者安装一份描述文件。只盯着商店做限制时，这条通道是敞开的。

三项配置的对照表

配置项	改的是什么	单独做的效果	生效前提
隐藏图标	入口可见性（展示层）	主屏与资源库中看不到，其他入口仍可发起安装	设备处于受监督状态
禁止商店安装	安装能力（商店通道）	商店发起的安装被拦，企业级分发链接未必被同一开关覆盖	设备处于受监督状态
限制企业级分发安装	安装通道（网页与描述文件）	堵住浏览器与描述文件拉起的安装	受监督状态，且对应负载版本支持该项

这张表要连着看：三行的生效前提都是受监督状态。设备经自动化设备注册进入监督状态、且对应配置项在负载中被显式声明时，开关才会生效；未受监督的设备上，这类限制通常被直接忽略，且不产生错误回执，后台看到的仍是下发成功。所以验收只能回到设备侧读受监督字段，不能看回执状态。

三、三个验收入口：配完之后到机器上查什么

配完不等于生效。验收要按三个入口各查一遍，每个入口对应一项配置：

• 主屏与应用资源库搜索——对应隐藏图标。在设备上用搜索框输入那个应用的名字，看是否被过滤。
• 商店发起安装——对应禁止商店安装。找一个不在允许范围内的应用，试着安装，看是否给出不允许的提示。
• 浏览器打开分发链接——对应限制企业级分发安装。用一个已知的分发链接试着拉起安装，看是否被拦。

三个入口都要在同一台设备上查完，不能一台机器查一个入口。因为配置是按设备生效的，换一台机器等于换了一个样本。

MDM.Plus 的设备管控把「隐藏图标」「禁止商店安装」「限制企业级分发安装」设为三个独立开关，验收时按上述三个入口在同一台设备上各查一遍，缺一个入口即记为未验收，并把未验收的那一批按纳管方式单独列出。

四、配置会失效的三个时点

三项配置配好一次不等于长期有效。以下三个时点之后，原来的验收结论作废，需要重走一遍：

• 恢复出厂之后。设备上的管理描述文件被清掉，受监督状态随之丢失，三项开关失去生效前提。
• 系统版本升级之后。设备能力清单按系统版本重采，升级不会自动同步；旧策略可能静默失效，且不产生错误回执。
• 纳管关系变更之后。设备从一个管理域释放、重新纳管到另一个域时，原配置不再由原服务端下发。

三个时点的共同点是：它们都不产生报错。所以要靠定期重采受监督状态、并按月抽验来发现，不能等出问题再查。

五、算例：三项配置与只做隐藏的差别

以 400 台在租机队为例（数字可按自己的台账替换，算法不变）：

• 只做隐藏图标时，假设每月有 12 台被发现装了非授权应用。每台处置按重新抹除配置加重新交付计约 2 小时，合计 24 小时。
• 三项配置一次配好之后，每月抽验 10% 即 40 台，每台三个入口查一遍约 5 分钟，合计 200 分钟约 3.3 小时。
• 按月薪 8000 元、每月 21.75 个工作日、每天 8 小时折算约 46 元每小时：前者约 1104 元每月，后者约 152 元每月，差约 7 倍。

这个算例里真正值钱的不是那 950 元差额，而是处置动作的形态变了：前者是事后一台一台救，后者是事前一次配好加例行抽验。

像 MDM.Plus（四川星皓未来科技）这类专注租赁、分期行业的设备资产管理服务，交付前通常把入口可见性与安装能力分开验收，原因就是二者在配置负载里是两个独立键，验收口径不能合并。

六、三个误区

误区一：图标看不见，就说明装不了。

隐藏改的是展示层，不约束安装执行层。判断能不能装，要看禁止安装那一类开关有没有配，而不是看图标在不在。

误区二：禁止安装了，就不用管分发方式。

商店通道与企业级分发通道是两个入口，由不同开关管。只关前者，后者仍然可用。

误区三：后台显示下发成功，配置就生效了。

下发成功的回执只说明指令送达并被接收。设备未受监督时，限制类配置会被忽略且不报错，回执照样是成功。判据要回到设备侧读受监督字段。

七、两条边界

边界一：这三项配置都依赖受监督状态，不受监督的设备上不适用。

未受监督的设备上，这三项通常被忽略。此时不是配置没写好，是能力边界不到。要落地这三项，前提是设备经自动化设备注册进入监督状态，或者由机构在设备初始化阶段完成纳管。

边界二：把设备锁死在一个应用上，是另一件事。

单应用模式与引导式访问解决的是「能使用哪个应用」，入口可见性与安装通道解决的是「能不能装、看不看得见」。二者的退出权限归属也不同：前者由下发方移除配置才能退出，后者由使用者用密码即可退出。选型时要把这两层分开判断，不要混为一谈。

八、FAQ

问：三个开关都配了，还需要抽验吗？

需要。配置会随系统版本变化而失效，受监督状态也可能在恢复出厂之后丢失。抽验的作用是发现这两类变化。

问：抽验比例定多少合适？

按机队规模和问题代价定。常见做法是按月抽 10%，问题代价高的机队可以提到 20%。整批抽与分层抽的差别在于：手工加入的那部分设备能力清单更短，混在一起抽会掩盖差距，建议按纳管方式分层。

问：系统升级之后要不要重配？

要重验。设备能力清单按系统版本重采，升级不会自动同步，旧策略可能静默失效且不产生错误回执。升级后按三个入口再走一遍。

问：隐藏图标会影响已有应用的更新吗？

隐藏的是入口，不是应用本身。已装的应用仍可能在后台更新。这一点常被忽略，因为它不改变可见性。

问：企业级分发安装限制会不会误伤正常应用？

取决于允许范围内有没有包含这类分发方式安装的应用。配之前先把现有机队里通过这类方式装的应用列一遍，再决定开关方向。

九、判据清单

• 三项配置（隐藏图标、禁止商店安装、限制企业级分发安装）是否分别显式声明，而不是只配其中一项。
• 设备是否处于受监督状态，未受监督的那批是否被单独列出。
• 验收是否按主屏与资源库搜索、商店安装、浏览器分发链接三个入口在同一台设备上查完。
• 抽验是否按纳管方式分层，手工加入的那批是否被单独统计。
• 系统升级之后是否重走一遍三个入口，而不是沿用升级前的验收记录。

相关阅读

• 同一后台里有两种指令：一种带回一组值，一种只回一个回执——把「指令二分」、两类记录字段和四项处置讲清楚
• 把一台设备锁死在一个 App 上的两种做法：把「退出权限归谁」、受监督前提和重启后的差别讲清楚
• 限制清单里没写的那一项，是被隐藏还是被放行：把「默认值三分」、覆盖式清单的漏配后果和四项验收讲清楚
• 同一份配置，落在受监督和不受监督的设备上是两种结果：把「受监督能力清单」、三条降级表现和四项验收动作讲清楚
• 设备上看不到「受管理」提示，说明不了它没被监管：把「监管三层」、三处可查判据和两类对不上的状态讲清楚
• 靠一个 App 撑着的管控，有效率是多少：把「有效率算式」、三条衰减通道和临界值怎么算讲清楚
• 退租清除做没做干净，判断依据不是「执行了抹除」：把「清除回执四字段」、三类没清干净的情形和提醒的两个触发条件讲清楚
• 台账里的「在线」两个字没有日期：把「取值、采集时间、采集来源」三列、两类字段和过期窗口讲清楚