智能手机在成为我们贴身小伙伴的同时也正越来越成为身边的不定时炸弹。它会透露主人的一切信息，甚至是主人自己都不会注意到的信息，给那些怀揣恶意，或者没有恶意却被有恶意的第三方偷偷利用的软件开发者。但是只要用它就没有绝对的安全，有的只能是尽量去防范。

最常见的敏感权限，比如：

• 读取通讯录：它实际上包含了手机主人的所有社会关系，有了这个关系网，舟楫主人的一切基本上无所遁形。同时，它还包含了联系人的一些个人信息，比如职位、生日、住址等。恶意第三方也许就可以通过你知道你的某位联系人的信息，又通过这个信息伤害/损害该联系人。你可能不知道，这联系人也不知道。但是不知道不代表了解情况后没有良心上的煎熬。
• 读取通话状态：软件会知道你什么时间、什么地点（如果配合定位权限的话）、给什么号码打了电话。配合前一个权限，软件就知道这个号码是谁的，跟你什么关系。
• 读取短信息：如果你不在乎让别人知道你的短信内容，那么读就读吧 :D
• …… 其实还有很多其它的，但是都不如上面第一条伤害面积大，因为第一条里面包含了很多别人的信息。如果手机主人关心在乎自己的朋友，就不应该让那样的事情有可能发生。

而情况会变得更严重就在于，不同的软件可能会需要不同的权限，用户不会觉得有什么问题。“它只知道一点点”。事实是，不同的软件可能用了某个相同的数据供应商的技术，而这些权限收取的信息都被这个隐藏在后面的数据供应商聚集到了一起。甚至，这几个不同的软件背后有个相同的老板。你怎么知道呢？

所以在这种事情上，不管怎么小心都不为过！

怎么去小心？其实也很简单：凡是碰到需要敏感权限的软件，尽最大可能不要使用，连试都不要试（因为它只要运行一次就知道一切了）。

这就有两个困境需要用户自己去把握，因为我们都不想因为对于隐私的担忧而放弃使用智能手机：

1. 手机系统制造商至少会知道这些信息，比如 Apple、Google、Microsoft；
2. 实在离不开的软件，比如 QQ、微信（这两个我一直不愿意装在手机上，可是到最后也还是没有抵挡住），可是我们至少可以做到不跟这些软件共享自己的通讯录（现在QQ、微信都可以设置为不让它们读取通讯录了，至于它们会不会遵守这样的限制就管不了那么多了，毕竟已经给了它们相应的权限了）。

安卓上的 Google 基础应用的权限要求

看看安卓上这个基本的 Google 服务的权限要求，是不是觉得除非不用 Android 不然就无可避免？当然这并不是只有 Google 才这样，只举这个例子是因为我没有 iPhone 而已。而下面那个测试就用的是 iPhone 手机。

我不是个隐私安全的专家，连熟悉都谈不上，只是混得久了知道了一点这方面的信息。刚好又在网上看到国内某数据供应商在背后收集用户资料并上传到自己的服务器的新闻，才想着需要给周围的朋友提个醒。

这是 V2EX 上的原文：

嗯 … 虽然增加了它的曝光率还是说一下比较好 :-(

聚合数据（juhe.cn）的 SDK 启动时会要求读取通讯录的权限，然后加密发回到他们的服务器上。

通讯录数据内容并未做任何的脱敏处理，更加过分的是，特么的一个字段都没拉下啊 …

姓名、昵称、地址、E-mail、手机号、组织等均被上传了

而 solidot 上的评论也很直接：

上传通讯录这种事儿在中国好像挺常见的，不过聚合数据这种上传方式也是有点太过分了。从解密后的请求看，收集的数据不仅包括用户的 IMEI、地理坐标、运营商、手机型号和版本等基础数据，还包含了用户的整个通讯录，通讯录信息内包括姓名、昵称、公司、电话、E-mail、住址备注等字段，并未做任何脱敏处理。

这个数据供应商并不直接提供软件给用户，但是它可以提供火车票、天气等信息给软件开发者使用。虽然并不是所有使用该数据的软件开发者都会内嵌该供应商的 SDK（一种方便软件开发者使用它们的数据进行开发的工具），用的人应该还是有的吧。可能你自己都能开发一个软件提供火车票查询，自己觉得不会有安全问题啊，自己开发的怎么会有安全问题呢。但是你用了这家公司的 SDK，它们的 SDK 就像潜入你的软件内部的间谍，通过你的软件就把隐私信息攫取到了。

我也只能说到这个地步了，剩下的不妨发挥自己的想象力。你觉得还有哪些安全隐患呢？在这个方面，基本上也是“只有想不到的，没有做不到的”。

所以，怎么小心都不为过，能不用的尽量别用。©

本文发表于水景一页。永久链接：<https://cnzhx.net/blog/say-no-to-apps-asking-sensitive-permission/>。转载请保留此信息及相应链接。