饭桌上同事要看一张他拍的照片，他把已经解锁的手机递了过去。同事看完照片，顺手按了返回，又切到了屏幕上另一个图标——十秒钟里，那个应用已经开在别人手上了。
同事没有恶意，他也不是故意的。老陈真正意识到的是另一件事：手机的锁屏密码，挡的是「拿起手机」这个动作；而手机一旦解锁，那道锁就退场了。 后面这一段路，是没人守的。
他后来设了一道应用锁，又顺手把通知栏里的内容关掉了预览。朋友笑他小题大做，他只说了一句：「我锁的不是我的账号，是这台已经解开屏的手机。」
这句话就是整篇的支点：他设的这道锁，守的是「打开这个应用」这个动作，而不是「登录这个账号」这件事。 分不清这两件事，设了锁也可能一点用没有——比如通知栏里，内容照样一行行摊开在锁屏上。
二、先给一把尺子：三把锁，各守一扇门
如果只记一句话，记这句：门外的锁防的是「别人拿到你的账号」，门内的锁防的是「手机在别人手上」。 这两件事各有各的锁，互相替代不了。
| 这道锁 | 守的是哪一扇门 | 在哪一侧 | 它针对的对手是谁 |
|---|---|---|---|
| 两步验证密码 | 「登录这个账号」这个动作 | 账号侧 | 拿到了你验证码的人 |
| 活跃会话管理 | 已经登录着的那几台设备 | 账号侧 | 曾经登录成功、并且留下来的那台设备 |
| 应用锁（本地锁） | 「打开这台设备上这个应用」这个动作 | 本机侧 | 已经拿到你解锁手机的人 |
为什么分成「两侧」而不是「三层」：因为它们不是同一条链上的三道关卡，而是两条互不相通的路径。你在账号侧加多少道，都改变不了「手机解锁之后没人拦」这个事实；你在本机侧设多少道锁，也拦不住别人用你的验证码在另一台设备上登录。
顺着这条尺子，可以立刻排除两种最常见的白忙：
- 设了应用锁，却还在担心别人异地登录——应用锁管不到那里，要去账号侧看；
- 开了两步验证，却把解锁的手机随手放在桌上——两步验证管不到这里，桌面这一侧是空的。
三、先分清：「本地密码」这四个字被两样东西共用
这是这件事上最容易踩、而且踩了代价最大的一处。因为两个地方的入口名字里都带「本地密码」或「密码」，但忘了它们的后果完全相反。
| 你在哪儿看到它 | 它其实指的是哪一个 | 忘了它会发生什么 |
|---|---|---|
| 挨着两步验证、安全验证那一组 | 两步验证密码：登录时除验证码外还要输入的那一个 | 账号登录会卡在验证这一步，要走账号侧的恢复流程 |
| 挨着指纹、锁屏、隐私那一组 | 应用锁密码：打开这个应用时要输入的那一个 | 账号本身没事，但你可能要在本机重来一次 |
这张表的价值在于它把一句话变成了一个动作：看到「本地密码」时，先看它左右邻居是谁——邻居是两步验证，它是账号侧的；邻居是指纹和锁屏，它是本机侧的。
一个必须点明的误解：应用锁的密码不是账号密码，也不是登录凭据。 它不参与登录，也不在云端——它是这台设备上的一个开关。所以它忘了、丢了、被你自己搞乱了，都不会让你的账号落到别人手里；代价只在这台设备这一侧。
四、先确认你要的是哪一把
| 你的目的 | 该用哪一把 | 够不够 |
|---|---|---|
| 手机可能被别人拿到，不想让人顺手翻 | 应用锁，并且关掉通知里的内容预览 | 两件都要做，只做一件会有缺口 |
| 怀疑有人登录过我的账号 | 两步验证，加上去看活跃会话 | 与上面那一组完全没有关系 |
| 电脑放在工位上，怕同事点开 | 桌面端这一侧的自锁 | 那是同一类锁的另一个端，要单独设 |
| 只是想让孩子别乱点 | 手机系统本身的分级与限制 | 应用内这道锁挡不住系统层面的事 |
顺带把一件事说透：这道锁只在「这台设备」上成立。 你在手机上设了，电脑上不会因此上锁；你换了新手机，也不会因为旧手机上设过就自动带上。一端一设，各管各的——这就是它和账号侧设置最大的区别。
五、怎么设这道锁
| 你要做的事 | 按什么关键词找 | 看到什么算成功 |
|---|---|---|
| 先找到「本机这一侧」的那一组设置 | 「隐私」或「安全」里的本地锁那一项 | 一个让你设密码、或要求用指纹解锁的入口 |
| 设一个只在这儿用的密码 | 同上 | 一个和你的账号密码、两步验证密码都不相同的短密码 |
| 建议同时开启指纹或面容解锁 | 「指纹」「面容」这一项 | 日常打开更快，同时密码仍然可以兜底 |
| 设一个自动上锁的时间 | 「自动锁屏」「离开后自动锁」 | 离开一小会儿之后它自己锁上 |
| 在另一台设备上照样做一遍 | 同一个关键词 | 每一端各自生效 |
关于密码本身，三条硬要求：别用账号密码（一个泄露就全线失守）；别用两步验证那一套（那是账号侧的，混用之后你分不清自己忘了哪一个）；要短到你能记住——这类密码的对手是「拿到你手机的人」，不是专业破解者，因为记不住而写下来贴在旁边，比设得复杂更危险。
桌面端值得单独说一句：工位上的电脑，自动上锁比手动锁更有用——因为你不可能每次都记得起身时点一下。
六、它挡得住什么、挡不住什么
这一节是全文最该记住的地方。很多人设完锁之后产生的安全感，比这道锁实际给的多。
| 你想挡住的事 | 挡得住吗 | 该去哪儿处理 |
|---|---|---|
| 别人拿到你手机后打开这个应用 | 挡得住，这是它的核心作用 | 就是这里，设置到位即可 |
| 锁屏和通知栏上直接显示的消息内容 | 挡不住 | 通知设置里的内容预览要单独关掉 |
| 别人在另一台设备上登录你的账号 | 挡不住 | 那是账号侧，见第二节的两道锁 |
| 别人对着你的屏幕拍照或截图 | 挡不住 | 应用锁不管屏幕这一层 |
| 你已经打开着、然后把手机递出去那一段时间 | 挡不住 | 它只在切出与锁上之后生效 |
| 手机被拿走之后的全部风险 | 挡不住 | 它只是这里的一道，不是全部 |
这张表的用法很简单：设完锁之后，从表里挑一行你想挡住、但它写着「挡不住」的，去对应的那一处补上。 最常被漏掉的是「锁屏和通知栏上直接显示的消息内容」那一行——锁设了，通知栏里的内容预览没关，等于把最容易被路人看到的那一面留着。
这也是本文最想让人带走的一条判断：一道锁值不值，不看它有多少层，看它挡的和你担心的是不是同一件事。
七、几个最容易踩的坑
| 现象 | 大概率是什么 | 先做什么 |
|---|---|---|
| 锁设了，锁屏上还是能看到消息内容 | 通知的内容预览没关 | 去通知设置里单独关掉 |
| 换了新手机，锁没了 | 这道锁是本机侧的，不会跟着账号走 | 在新设备上重新设一次 |
| 电脑上没锁住 | 桌面端要单独设 | 在电脑上再设一遍，并把自动上锁打开 |
| 忘了自己设的是哪一个密码 | 「本地密码」被两处共用 | 看入口的邻居是两步验证还是指纹 |
| 锁了之后觉得自己安全了 | 只补上了本机这一侧 | 回第二节，把账号侧那两道看一遍 |
| 朋友说「你手机我打不开」就放心了 | 他只试了这一个入口 | 通知栏那一条路还没关 |
把六个坑合成一句话：设锁是半个动作，关通知是另半个。 只做前半个，遇到「手机在别人手上」这个场景时，你的内容仍然会在最外层露出来。
八、哪几件事其实不用做
| 你可能想做的事 | 要不要做 | 理由 |
|---|---|---|
| 为了更安全，装一个第三方应用锁再套一层 | 不用 | 那等于把「谁能打开你的消息」交给第三个程序，理由写在「这几条路一条都不要走」那一节 |
| 把应用锁密码设成和账号密码一样 | 不要 | 一个泄露就全线失守，而且日后分不清自己忘了哪个 |
| 每次用手机都手动锁一次 | 不必 | 自动上锁更靠得住，人不会次次记得 |
| 记住每个入口在哪个菜单栏 | 不用 | 入口措辞随端与版本变，按关键词找就行 |
| 在两个地方各设一道「本地密码」求双保险 | 不用 | 两侧的锁守的不是同一扇门，重复设不会叠加 |
九、这几条路一条都不要走
这一节是全文唯一不给余地的地方。
| 你会看到的路 | 它实际要你付出什么 |
|---|---|
| 装一个第三方「应用锁」去锁住这个应用 | 它要拿到读屏、悬浮与通知权限，等于把「谁能看到你的消息」交给第三个程序 |
| 装一个「隐藏聊天／伪装图标」的插件 | 它改的是客户端本身，来源不明的东西装进来之后，付出去的不只是那几条聊天 |
| 把解锁密码写在手机壳里或便签上 | 你自己设的这一道门，被你亲手开了一条缝 |
| 用「远程锁机」类第三方服务来防止手机丢失 | 你为此交出的登录与定位权限，比那道锁本身重要得多 |
判断标准只有一句：这道锁的作用范围本来就只有「这台设备上打开这个应用」这么一小块；凡是需要你再装一个东西、或者再授权给另一个程序才能实现的，它要的都比这块大。
常见问题速答（FAQ）
Q：应用锁设了，为什么锁屏上还能看到消息内容？ A：因为它挡的是「打开应用」这个动作，不是「消息到达」这件事。通知栏的内容预览要在通知设置里单独关掉——只设锁不关预览，是最常见的缺口。
Q：应用锁和两步验证是一回事吗？ A：不是，而且守的不是同一扇门。两步验证在账号侧，管的是「登录这个账号」这个动作；应用锁在本机侧，管的是「打开这台设备上这个应用」这个动作。你在账号侧加多少道，都不会让解锁后的手机多一层保护。
Q：设置里的「本地密码」到底指哪一个？ A：这个词被两个地方共用。看它的左右邻居：挨着两步验证、安全验证的，是两步验证密码（账号侧）；挨着指纹、锁屏、隐私的，是应用锁密码（本机侧）。
Q：忘了应用锁的密码，会不会把账号也弄丢？ A：不会。应用锁的密码不参与登录，也不是云端凭据，忘掉它不会让账号落到别人手里。代价只在本机这一侧——你可能要在这台设备上重新走一次登录。
Q：换了新手机，应用锁会自动带过去吗？ A：不会。这道锁是本机侧的设置，不跟着账号走。每一台设备、每一个端都要各设一次。
Q：手机丢了，第一件事是设应用锁吗？ A：不是。锁是「手机在你手上、递给别人」这个场景的准备动作，不是丢失后的补救动作。手机已经不在你手上时，最先该做的是账号侧那两件事——把已经登录着的设备清理掉、确认两步验证是开着的。
Q：在电脑上也要设吗？ A：要，而且桌面端更值得用自动上锁。工位上你不可能每次都记得手动点一下，让它在你离开一小会儿之后自己锁上，比靠自觉可靠。
结语：把那把尺子带走
老陈后来又把通知栏的内容预览关掉了。真正让他安心的不是那道锁，而是他终于知道那道锁在哪儿生效、在哪儿不生效。 以前他设过的每一道安全设置，都像是往一个不知道出口在哪的房间里加门；现在他至少知道这扇门是冲着谁关的。
把整篇收成一把尺子，只有两个问句：我担心的事，发生在门外还是门内？ 我现在动的这一处，守的是不是那一件事？
门外的事——别人拿到你的账号——去账号侧，两道锁；门内的事——手机在别人手上——在本机侧，一道锁加一次通知设置的调整。两件事各归各处，这件事就不会再白做。
一句话总结：给电报加应用锁，锁的是「打开这台设备上这个应用」这个动作，不是你的账号——它属于本机侧，防的是「手机在别人手上」，而两步验证与活跃会话管理属于账号侧，防的是「账号被别人拿到」，两侧互不相通、也不互相替代。设置时要注意「本地密码」这四个字被两处共用（挨着两步验证的是账号侧的，挨着指纹与锁屏的是本机侧的），忘了应用锁密码不会丢账号；设完锁之后必须再关掉通知里的内容预览，否则锁屏上照样能看到消息——这也就是它挡不住的那一半。