据我所知，他家的系统默认使用 userdebug 模式，这个模式下系统和 recovery 可能会为了折腾方便去开一些安全口子，例如 recovery 会允许刷入签名不对的刷机包。你在意这个的话，就自己拉代码编译一份 user 模式的系统，会提升一点儿安全性。

如果你的设备又恰好支持自签名回锁，你完全可以在自己编译的基础上向 bootloader 导入自己的签名，然后把 BL 锁回去。

自己的备用机就是这么做的。