【动画】@App开发者们，你想了解的SDK安全风险都在这！******
日前，工业和信息化部信息通信管理局通报了今年第一批侵害用户权益行为App，有13款内嵌第三方SDK存在违规收集用户设备信息行为。
现如今，大量App借助SDK实现特定功能，提供便捷服务，满足用户多样需要，但APP使用SDK也可能带来相关安全问题，包括SDK自身安全漏洞、SDK恶意行为、SDK收集使用个人信息三类。
其中，SDK恶意行为是指嵌入APP中的SDK自身产生的恶意行为。这种恶意行为将破坏使用SDK的APP的安全性，对用户权益、数据等方面造成严重威胁。典型的恶意行为如流量劫持、资费消耗、隐私窃取等。
常见SDK恶意行为
流量劫持指SDK信息拉取、上报和展示目标App提供者设定的目标不同，恶意劫持App流量，可能对App造成损害；隐私窃取指SDK在用户不知情或误导用户的情况下，隐蔽窃取用户的通讯录、短信息等个人敏感信息，隐蔽进行拍照、录音等敏感行为，并发送给恶意开发者；广告刷量指SDK在最终用户不知情的情况下，在后台模拟人工点击广告链接进行牟利。
在SDK收集使用个人信息方面，安天移动安全发现，应用接入第三方SDK引发的违规收集个人信息问题较为普遍。其中，包括用户同意隐私政策前就开始收集个人信息、隐私政策中未明确提及所接入的SDK和数据收集情况、SDK收集的个人信息范围与隐私政策不相符等。
除了上述 SDK恶意行为外，当前 App 接入的 SDK 中还存在以上风险行为类型
在对某统计类SDK检测分析时研究发现，其主要提供用户行为统计功能，并在此过程中实现用户终端数据的收集和上传。
由于该SDK 在不同App中存在模块代码和版本的不同，因此对其在不同月活范围 App 中的数据收集行为进行抽样分析，从结果上来看，该SDK 普遍存在违规收集和超范围收集个人信息的问题，并且在月活较低的 App 接入的版本中，还存在通过云控参数控制 SDK 在终端侧收集数据范围的情况，并且涉及大量用户隐私路径数据的访问。
以某知名地图 App为例，在相关检测中发现，在隐私政策中明确提到了应用内第三方 SDK所收集的个人信息类型为设备信息和 Wi-Fi 地址。而实际上传的数据中除了包含 WiFi 的BSSID名称信息外，还频繁上传用户安装应用的列表信息。
国家标准计划《信息安全技术 移动互联网应用程序（App）收集个人信息基本要求》中明确定义了不同业务场景下，应用收集个人信息范围的最小化原则。而在应用接入的 SDK 中，收集个人信息范围、频度的必要性和最小化原则同样适用于SDK的功能业务场景。
虽然部分应用接入 SDK 时明示了 SDK 所收集的个人信息范围，但其合理性和必要性存疑，例如收集个人信息范围为软件安装列表，但实际除了收集安装应用包名信息外，还收集了安装应用运行状态信息等，这就涉及超范围收集个人信息。
例如，某统计类 SDK除了应用开发者本身主动调用相关事件接口外，SDK自身还注册监听了多种广播消息，在监听到相关消息后则会触发数据的收集和上传行为。例如对解锁屏、电源连接断开事件进行监听、对用户终端安装、卸载应用行为进行监听，除此以外，还会监听应用前台、后台的切换行为从而触发数据的收集和上传。
另外，当前 App 接入的 SDK 中还存在云端控制SDK行为，热更新技术控制 SDK 行为，后台拉活、自动下载安装、误触下载等风险行为。
（监制：张宁 策划：李政葳 制作：黎梦竹）
这群从大凉山走出的女孩儿，希望用棒球改变命运******
四川省凉山彝族自治州美姑县千哈村，距离首都北京1755公里。在地图上，搜索不到前往千哈村的公共交通路线。村子周边，围绕着一座座山，每一座都有着颇具神秘色彩的名字。
这里是阿余女子的老家，有着近乎原始的自然风貌，和大城市无法比拟的清新空气。但与此同时，险峻的环境，也给当地人的生活平添诸多烦恼。
阿余女子在老家。受访者供图过河
3月中旬的四川，春意渐浓。而阿余女子现在居住的北京，还是有些凉意。
2019年，孙岭峰带领着强棒天使爱心小分队来到大凉山挑选学员，女子是帮他们带路的人。村里有些家长不会说普通话，女子还做起了彝语翻译。这一切，孙岭峰都看在眼里。
孙岭峰曾是棒球国手，参加过北京奥运会。2015年，他创建了强棒天使棒球基地，基地坐落在北京，目前共有68个孩子。基地的许多孩子们，原生家庭多少都有些问题。
女子在老家。受访者供图。即使已经去过许多偏远地区接孩子，但那次的大凉山之行还是格外艰难。一路上，山路曲折蜿蜒，多亏女子帮忙，小分队才能安全到达目的地。
走山路，是女子日常生活的一部分。她说每天上学的路都好像在探险，全程都是盘山路，还要经过一条河。如果遇到了雨天，上学的路会变得愈发惊险。
女子家里有个妹妹，还有两个哥哥、两个姐姐。两个姐姐都没上过学，现在在外地打工。女子身材瘦瘦高高的，说话声音不大，看起来很安静。
她说：“我也想上大学，我也想走出大凉山。”
女子在老家。受访者供图。2020年第二次走进大凉山，孙岭峰再次见到女子。那时的女子已经14岁了，一般来说，基地不会接收年龄这么大的孩子。但孙岭峰还是决定把她带回北京，因为他怕这么好的孩子，过几年就要告别校园嫁为人妇，“那样就毁了，一下就完了。”
阿余女子再不用担心上学的路上要过的那条河，或许这一次，她迈过的是人生中最重要的那条河。
朗诵
孙岭峰的棒球基地位于北京通州区，距离市区40公里。此前，因为拆迁等原因，基地已经搬了三次家。基地里男生宿舍和女生宿舍在不同区域，中间隔着个图书馆。宿舍里是统一的上下铺，衣柜和桌子也都是一样的。
不同的是男生是铁架床，女生是实木床，男生的被褥是简单的灰色条纹，女生的却有漂亮的小碎花。女生宿舍的储物柜里有毛绒玩具，墙上还贴了卡通墙贴。孩子们每天上午补习文化课，下午练棒球。
棒球基地的女生宿舍。李霈韵 摄离开家乡之后，阿余女子看到了一个更大的世界。
3月12日，女子和其他9个小伙伴一起，登上了2022年杭州亚运会首批优秀音乐作品发布的舞台。她们略显紧张地高声朗诵，和她们一起表演的，是国际知名钢琴演奏家郎朗。
这次孩子们是乘飞机去的杭州，在机场，她们穿着统一的队服，排队前进，边走边忍不住好奇地东张西望。女子牵着年龄更小的女队员，现在的她，是女队的领队。
基地的25个女孩全部来自大凉山，孙岭峰给这支女子棒球队取名叫做索玛花队。索玛花，就是彝语的杜鹃花，很多人也称之为映山红。映山红是一种喜阳的植物，在充足的阳光下，会越长越好。
棒球基地的女孩。李霈韵 摄按照孙岭峰的计算，从把孩子接到基地，一直到她们进入社会，每个孩子平均要花费几十万。“有男孩队伍了，如果再加个女孩队伍，成本绝对不是1+1，而是1乘以N”。
最开始，孙岭峰只是有组建女队的想法，但没有落实。直到他走进大凉山。“到了那个地方，我真的觉得，不能不做这事。”孙岭峰说。
击球
到基地训练过一段时间后，阿余女子晒黑了些，相比于刚来的时候，脸颊上也多了点肉。
女子在训练中。受访者供图而她在家乡的朋友们，有些同龄的女孩还在学习，但有些也已经走上了不同的人生轨迹。
近些年来，在国家扶贫工程的帮助下，大凉山在快速发展当中。但过往教育的缺失，使得一些人在与外界交流时要困难许多，女子的家人就是这样。
她的爸爸今年51岁，妈妈今年52岁。“我家里人没学上，就没有文化，啥都不懂，连个名字都不会写，出去跟有文化的人谈不上来。有文化了，才能有更好的未来。”女子如是说。
现在，她有希望成为家里最有文化的人。由于比其他孩子年龄大，女子学的东西比别人要难。教练特意给她买了学习机，有时她会一个人在宿舍学习。
阿余女子。受访者供图而身为棒球女队的领队，女子说，自己想带着那帮“小的”一起拿世界冠军。
“我每天算着，我读大学的时候爸爸妈妈可能几岁啦。晚上睡不着的时候，就会算这些。”
基地的25个女孩，有些家境贫困，有些甚至家庭残缺。她们走出大凉山，希望通过学习知识、练习棒球改变命运。
当然，也有想家的时候。住在一个宿舍的女孩们，如果有一个说想家了，可能也会勾起其他人的乡愁。她们会搂在一起，度过这样有些难过的时光。而更多的时候，她们笑在一起、闹在一起。
棒球基地的女孩们。李霈韵 摄女子来到北京之后，姐姐曾给她写信，里面说：你学到知识一定要传到农村里来，祝你成为世界冠军。
她告诉记者，姐姐的话，会一直印在她心里。(作者 王昊)
| 快3彩票地图 |
