保持警惕：多个国产 APP 滥用相册权限(转)

[vhvlqn]

在 iOS 15 推出后，人们利用记录 APP 活动功能发现了许多令人不安的现象。

微信、QQ 、淘宝，这些主流的国产 APP 正在滥用相册权限，日志显示这些它们在用户未使用的情况下在后台以很高的频率长时间读取相册。

Apple 对应用程序的审查以严格著称，但对于一些 APP 来说，这种审查依然是可以绕过的。一旦用户授予它们完整的相册权限，它们会加以利用。保存重要隐私信息的相册敞开大门后，它们就在其中不知廉耻地乱翻，搜寻任何感兴趣的信息。

这意味着，今天之前所有给予过上述 APP 相册完整权限的用户，他们的隐私都受到了侵犯。

这告诉我们，不能过于高估任何应用商店或者操作系统对隐私的保护能力，也不要低估那些 APP 厂商窥视用户隐私的执念。

[MonkeyD1]

淦

[Lin0936]

张小龙，你*什么时候*啊？

[kirillzhang]

两个方法。1. 关闭后台刷新； 2. 降低微信权限，开放部分照片的权限。

[felixcode]

为什么收了 30%的审核费后还这样。

[xingyuc]

手机系统厂商：新的用户便捷功能！
App 厂商：如何用来获取更多用户数据？

[cwbsw]

“一旦用户授予它们完整的相册权限”

说得好像 iOS 相册权限被绕过了一样。

[LudwigWS]

1. 缺乏具体日志的证据
2. 个人感觉大厂完全可以高枕无忧躺着赚钱，没必要冒这个风险分析用户的照片

[Xusually]

来源请求

[dier]

@cwbsw iOS 淘宝在不同的位置，能看到相册照片的范围就是不同，首页“搜索框”位置，扫码功能的相册读取范围是指定的照片可访问，你再到“消息”中找“我的小蜜”聊天，添加照片时点相册，能访问的照片就是所有

[Roykira]

@dier 还真是，它是怎么做到的，有点厉害，就是在规则上面继续钻漏洞咯。

[skies457]

听君一席话 如听一席话

[xx219]

@dier 试了一下是这样的，怎么做到的。。。。。

[skies457]

@Roykira 猜测聊天中用的是系统自带的 image picker 吧

[chipmuck]

@LudwigWS 嗯？

[xx219]

淘宝那个应该是用了系统选择照片的 api，选中就直接发送了，实际上应该是看不到所有的照片的。和 wx 的实现方式都点区别，wx 是选中之后显示了一个 wx 自己的过渡页面。。。。

[Wao]

@Xusually #8 https://m.weibo.cn/status/4690017463305092

[Leonard]

@dier #9 如果用系统自带的 imagepicker 的话不用任何权限就可以选取所有图片，app 也只能获取你选取的图片。如果自定义 picker 的话 app 需要获取相册权限，并可以获取到你允许的所有的图片。

[DeaThNoTE]

@chipmuck 真是恶心又恐怖。。

[iSteven]

@dier #9
@xx219 #12

“我的小蜜”其实是一个网页，并不是原生的，苹果给网页提供了一个读取相册资源的接口，这个接口是不用申请相册权限的（因为操作相册的并不是 app 进程而是系统的另外一个进程），其实这是网页委托系统去读取图片数据，流程是「网页->系统->相册->用户选中的图片->系统->网页」，从始至终网页都是读不到相册资源的，只能最后拿系统返回的图片。Android 也是有类似的接口。

[Oopsm]

@chipmuck 这个在哪里看