高版本 android 的证书不在/system 里了，在/apex 里，这个分区甚至先于/system 挂载。
高版本 android 的/system 是只读的，挂载成可读写也没啥意义，因为大概率 1 字节空间都没有。
要装证书到系统得 magisk 模块 Bind mount 或者 ksu overlayfs 。

两 nat 搞俩网段，服务器做好转发就行（记得开 ipv4/6 的转发）。如果 ssh 也要走 wireguard ，就得把 mtu 改小。可以参考 arch wiki 这个部分
https://wiki.archlinux.org/title/WireGuard#Server

1.几乎能
2. 禁用 play 服务并不需要特定软件，设置里可以直接禁用（ pixel 手机），禁用 play 服务几乎等于负优化
3. 弄个黑阈/绿色守护控制住第三方 app 的后台就行，两者都可以用 adb 激活

如果买 pixel ，建议买 6/7/8 ，pixel4 及以前都没有官方的系统更新了，pixel5 性能可能不太够。

tlp 可以做到，之前自己那机械硬盘做 nas 的时候就能 用 tlp 直接把硬盘停转，有读取时才启动硬盘。配置文件写起来也很简单。

这个简单，把 win 的那个盘卸了，然后把 grub 装在新买的硬盘上，同时把 grub 配置也迁移过去就行。不过要先准备一个启动盘。如果有硬盘盒就不需要了，因为能直接在原来的 linux 上在将 grub 和系统都搬过去。grub 的安装可以参考 arch wiki ，个人建议将 grub 安装在 efi 分区里，两块硬盘甚至可以弄两个 efi 分区。
如果只是单纯解决 win 不能启动的问题，也简单，网上可以搜到 win 的引导修复，将 win 的引导弄到 efi 分区里就行（ win 的那个盘没有 efi 分区可以手动建一个）

局域网内推荐 kdeconnect （这个软件刚上 ios 不久），能剪贴板共享和文件互传，还能远程键鼠。

@jpacg 对，解锁坏 tee 是高通的安全启动的要求，mtk 不清楚。小米解锁不坏 tee 是因为小米 hack 了这个过程

android 的 data 分区加密了，密钥会在恢复出厂设置时清除，前提是遵循了 android 的规范。华为手机取证的那个估计是没真正清除密钥。一般来说，闪存的格式化+trim 后，数据几乎很难找回来。

可以换个思路，把文件/文件夹加密，就算扫也扫不出有效信息

app 没有，国内定制系统的广告是关不掉的，只能换系统解决

5000 以内直接把预算全砸 cpu 上就行，显卡可以直接用亮机的 amd 卡，只要不要太老就行
个人前几天组了 5600+rx580 ，使用的 arch linux ，内存单根 16g ，1t 国产盘，总共 2600 左右。待机功耗很低。
cpu 个人推荐 amd ，同价位多核性能吊打 intel 。可以上 7700x+b650/7900x+x760 板 u 套装（如果要求 8t 的存储全是 nvme 的话可能要高端一点的主板（ 4 个 nvme 接口的），要求小主机主板就上 itx 板，不过不推荐，最好上 matx 的板子），没显卡电源 500w 足够，内存可以跳便宜/频率不高的 d5 内存，系统的话求稳定上最新的 debian/ubuntu ，因为旧的内核上的 amdcpu 调度不太行，且比较耗电。
微型主机和 nuc 个人不太推荐， 除非有便携需求，不然性价比不高

acl 或者 selinux ，sudo 的用户得改，不然别人能关闭 selinux 和重设 acl ，防护都没有什么意义

禁用驱动，或者 pci remove/poweroff ，具体得看这个设备的/sys 里有啥节点

@SupperMary aosp 编译的那个 bug 我也遇到了，编译到最后明明还有很多内存但就是分配不出，然后就直接退出了，不过其他的内核（比如 zen ，xanmod 都提前修复了）

你永远可以相信 alsa+pipewire+bluez

有些桌面环境对触控有优化，比如 kde 和 gnome 。当然，前提是触摸屏驱动要安装好。还有就是 3d 硬件加速，linux 桌面的 3d 加速几乎没有，体验不会很顺滑

@miracleyin 外屏亮了后可以用 xrandr 命令把内屏点亮，命令类似 xrandr --setprovideroutputsource 1 0，1 0 代表显示器的编号