隐私合规：检测第三方SDK调用的隐私权限

article/2025/11/10 19:05:39

隐私合规：检测第三方SDK调用的隐私权限

原文地址

隐私合规：检测第三方SDK调用的隐私权限

前言

看了一圈各大网站目前关于隐私合规检测的分享，发现大家几乎都是自己写一套动态代理、Hook或者ASM来实现代码拦截从而检测不合规的代码堆栈，虽然这也是一个很好的方法，但是对于一些很紧急的任务又或者是刚入门的开发者来说，无疑是很耗时间的，所以笔者在这里提供一种目前 Android 11 支持的API思路。官方文档传送门

最近被工信部下架的应用太多了，隐私合规检测特别严，明明把所有能看得到的隐私合规问题都解决了，但是工信部就是说你没解决。Ok，fine！ 你说没解决就没解决吧（欲哭无泪😭）

虽然我们是把“看得到”的隐私问题都解决了，但是那些看不到的呢？比如说依赖的第三方 SDK，它们会不会在你不知道的情况下偷偷调用了一些隐私权限呢？相信一般的公司项目都是比较大型的，依赖了各种各样的第三方SDK吧（如果是大佬的话就当我没说，毕竟大佬们都喜欢自己造轮子~）

检测方法

为了让应用及其依赖项访问用户私密数据的过程更加透明，Android 11 引入了数据访问审核功能。

笔者使用的这种方式，是针对Android 11及以上的，因为这是Android 11的新特性，具体可以看官方文档。想要检测应用使用的隐私权限的话，需要先暂时把targetSdkVersion升到30，然后等检测完不合规的地方后再还原回原本使用的 targetSdkVersion 版本。

其实当 Android 11 的新特性出来之后，开发者们肯定或多或少的对AppOpsManager.OnOpNotedCallback有印象，但是真到了需要用的时候，可能就想不起这个回调了，在 App 中注册了这个回调之后，当应用每次发生以下任一事件时都执行相应操作：

  • 应用的代码访问私密数据
  • 依赖库或 SDK 中的代码访问私密数据

注：此博客所讲的例子是基于定位权限的，其他隐私权限同理。

简单使用

以下代码段是用于数据访问时的AppOpsManager.OnOpNotedCallback回调：

override fun onCreate(savedInstanceState: Bundle?) {val appOpsCallback = object : AppOpsManager.OnOpNotedCallback() {private fun logPrivateDataAccess(opCode: String, trace: String) {Log.i("youzi", "Private data accessed. Operation: $opCode\n Stack Trace:\n $trace")}override fun onNoted(syncNotedAppOp: SyncNotedAppOp) {logPrivateDataAccess(syncNotedAppOp.op, Throwable().stackTrace.toString())}override fun onSelfNoted(syncNotedAppOp: SyncNotedAppOp) {logPrivateDataAccess(syncNotedAppOp.op, Throwable().stackTrace.toString())}override fun onAsyncNoted(asyncNotedAppOp: AsyncNotedAppOp) {logPrivateDataAccess(asyncNotedAppOp.op, asyncNotedAppOp.message)}}// 创建AppOpsManager实例并添加上面定义的回调val appOpsManager = getSystemService(AppOpsManager::class.java) as AppOpsManagerappOpsManager.setOnOpNotedCallback(mainExecutor, appOpsCallback)
}

对应Java代码：

        if (android.os.Build.VERSION.SDK_INT >= Build.VERSION_CODES.R) {AppOpsManager appOpsManager = getSystemService(AppOpsManager.class);Log.e("ZG", "AppOpsManager: ");appOpsManager.setOnOpNotedCallback(getMainExecutor(), new AppOpsManager.OnOpNotedCallback() {private void logPrivateDataAccess(String opCode, String trace) {Log.e("ZG", "Private data accessed. Operation: " + opCode +"\n Stack Trace:\n " + trace);}@Overridepublic void onNoted(@NonNull SyncNotedAppOp op) {logPrivateDataAccess(op.getOp(), Arrays.toString((new Throwable()).getStackTrace()));}@Overridepublic void onSelfNoted(@NonNull SyncNotedAppOp op) {logPrivateDataAccess(op.getOp(), Arrays.toString((new Throwable()).getStackTrace()));}@Overridepublic void onAsyncNoted(@NonNull AsyncNotedAppOp asyncOp) {logPrivateDataAccess(asyncOp.getOp(), Arrays.toString((new Throwable()).getStackTrace()));}});}

回调里需要重写的几个方法笔者就不多赘述了，官方文档里讲得已经很具体了。这里的logPrivateDataAccess方法是自己写的，名字可随意定义，用于打印使用到的权限名字，还有使用到的代码堆栈，方便大家看到在哪里调用了某个权限。

这里给个笔者检测时打印出来的日志示例：

pic

可以看到，打印出的日志当中会有使用到的定位权限名字fine_location，还有Stack Trace下面的堆栈信息，此堆栈表示在DebugDB.initialize()中调用了定位权限，此时我们可以点击后面括号中的的信息跳转到该方法，然后就可以看得到此方法是属于哪个SDK的了。

（笔者悲催的发现这个 SDK 是没有地方使用的，属于被废弃掉的了，如果要一个个去查所有使用到的 SDK 里是否调用了权限，那将是非常大的工作量😭，大家也可以趁机看一下自己项目里哪些不再需要的 SDK ，早删早轻松）

按归因标记使用

  1. 当只需要检测某个页面中是否调用了隐私权限的话，只需要在需要检测的Activity中的onCreate注册该回调。

  2. 当需要在应用中检测所有页面是否调用了隐私权限的话，需要在应用的Application中的onCreate中注册该回调。

  3. 当需要检测特定的权限时，可以使用按归因标记审核数据访问，通俗点来说就是创建专属的Tag标记。

这里的场景一跟场景二上面已经说明了，区别在于在不同的地方注册而已，现在主要是要讲一下场景三，引用一下官方文档的一句话：

如果您在某个 Activity 中访问数据（例如请求位置信息或访问用户的联系人列表），请在该 Activity 的 onCreate()方法中调用 createAttributionContext()，并传入您希望与应用的一部分相关联的归因标记。

举个例子，也就是说如果你需要在某个Activity中调用LocationManager，你需要先创建一个与之关联的 Tag 标记，如下代码段所示：

    private lateinit var attributionContext: Contextprivate lateinit var locationManager: LocationManageroverride fun onCreate(savedInstanceState: Bundle?) {super.onCreate(savedInstanceState)// 创建归因标记，简称TagattributionContext = createAttributionContext("findLocation")// 通过上面的attributionContext来创建locationManager实例，关联归因标记locationManager = attributionContext.getSystemService(LocationManager::class.java) as LocationManager}

上面可以看到我们通过createAttributionContext("findLocation")创建了一个 Tag，然后根据这个 context 来创建LocationManager，在以后需要调用定位的地方就可以直接使用这个与 Tag 相关联的 locationManager 了，接下来我们只需要稍微修改一下刚刚所使用的AppOpsManager.OnOpNotedCallback即可：

    private lateinit var attributionContext: Contextprivate lateinit var locationManager: LocationManageroverride fun onCreate(savedInstanceState: Bundle?) {super.onCreate(savedInstanceState)// 创建归因标记，简称TagattributionContext = createAttributionContext("findLocation")// 通过上面的attributionContext来创建locationManager实例，关联归因标记locationManager = attributionContext.getSystemService(LocationManager::class.java) as LocationManagerval appOpsCallback = object : AppOpsManager.OnOpNotedCallback() {// 新增attributionTag参数private fun logPrivateDataAccess(opCode: String, attributionTag: String, trace: String) {Log.i("youzi", "Private data accessed. Operation: $opCode\n Attribution Tag:$attributionTag\n Stack Trace:\n $trace")}override fun onNoted(syncNotedAppOp: SyncNotedAppOp) {syncNotedAppOp.attributionTag?.let {logPrivateDataAccess(syncNotedAppOp.op, it, Throwable().stackTrace.toString())}}override fun onSelfNoted(syncNotedAppOp: SyncNotedAppOp) {syncNotedAppOp.attributionTag?.let {logPrivateDataAccess(syncNotedAppOp.op, it, Throwable().stackTrace.toString())}}override fun onAsyncNoted(asyncNotedAppOp: AsyncNotedAppOp) {asyncNotedAppOp.attributionTag?.let {logPrivateDataAccess(syncNotedAppOp.op, it, Throwable().stackTrace.toString())}}}// 创建AppOpsManager实例并添加上面定义的回调val appOpsManager = getSystemService(AppOpsManager::class.java) as AppOpsManagerappOpsManager.setOnOpNotedCallback(mainExecutor, appOpsCallback)}

我们通过为刚刚的logPrivateDataAccess新增了一个需要传的参数attributionTag，然后在重写AppOpsManager.OnOpNotedCallback()中的三个方法时，判断一下 attributionTag 是否为 null ，如果为 null 的话则表示与我们需要检测的权限无关联，此时就不需要打印。

如果在应用中给多种隐私权限设置了Tag，则可以在回调中拿到attributionTag的时候，判断一下是否是自己想要检测的那个Tag~

这个例子是写在 Activity 中的，如果需要全局使用的话，可以自己定义一个 LocationManager 的单例，然后统一设置 Tag，以便以后需要检测的时候可以使用归因标记方式。

总结

顺便总结一下，在使用下面这段代码的时候，竟然不知道wifiManager.connectionInfo这个方法会调用定位，现在“深刻”的记住了。

    val wifiManager = applicationContext.getSystemService(WIFI_SERVICE) as WifiManagerval wifiInfo = wifiManager.connectionInfo

http://chatgpt.dhexx.cn/article/YnkVq8Z6.shtml

相关文章

uniapp 调用安卓原生插件 安卓原生又调用了第三方sdk（第三方原生开发的aar怎么转成uni可以使用的aar）

uniapp 调用安卓原生插件 安卓原生又调用了第三方sdk（第三方原生开发的aar怎么转成uni可以使用的aar）

最近在做一个关于uniapp的项目，遇到一个需求。有一个原生开发的aar的原生插件，不是插件市场的，开发说明原生开发的插件不可以直接提供给uniapp使用，需要按照uniapp原生插件开发文档重新制作成uniapp可以使用的aar。（半…
阅读更多...
uniapp原生插件开发调用第三方SDK

uniapp原生插件开发调用第三方SDK

uniapp安卓官方SDKhttps://nativesupport.dcloud.net.cn/AppDocs/download/android.html# 官方uni原生插件开发教程（android）网址:https://nativesupport.dcloud.net.cn/NativePlugin/ 第一步，开发环境的准备 下载uniapp安卓官方SDK待后面使用…
阅读更多...
编写sdk提供给第三方使用（比如接口请求类）

编写sdk提供给第三方使用（比如接口请求类）

感谢鱼皮。 一、新建SpringBoot项目 二、引入基础依赖 引入lombok（提供get、set方法）、configration-procssor（第三方引入包后，可以自动补全配置） 三、删除 pom 文件中不需要的依赖与插件，并删除 test …
阅读更多...
Unity3D接入Android第三方SDK流程

Unity3D接入Android第三方SDK流程

目录 一、SDK调用Unity3D 二、Unity3D调用SDK 1、在Unity中新建一个脚本，调用MySDkPlatform中的方法 四、打包 1、方式一：SDK打成plugins给Unity（unity版） 2、方式二：Unity导出安卓工程接入SDK（studi…
阅读更多...
Android应用安全之第三方SDK安全

Android应用安全之第三方SDK安全

第三方sdk的包括广告、支付、统计、社交、推送，地图等类别，是广告商、支付公司、社交、推送平台，地图服务商等第三方服务公司为了便于应用开发人员使用其提供的服务而开发的工具包，封装了一些复杂的逻辑实现以及请求，响…
阅读更多...
机器学习与word

机器学习与word

1、下面关于vector representations for words描述正确的是？ A. 基于words总数N将每一个word映射到一个N维vector，即1-of-N Encoding B. 同样性质的word用相同的word class vector表示即word cluster C. 每一个word映射到高维空间的dimension reducti…
阅读更多...
怎样修改word页面页码

怎样修改word页面页码

修改word页码，使其从指定页面开始（目录更新后页码也正确） 1 首先在需要作为第一面的界面与前面用“布局”中的“分隔符”， 点击“下一页”，之后点击插入“页码” 2 之后在想要作为第一面的位置“链接到第一节” 3 删除…
阅读更多...
Latex语法学习08：打通latex、mathml和word公式转换

Latex语法学习08：打通latex、mathml和word公式转换

目录 1 基于工具的转换 1.1 获取mathml源码 1.2 将mathml代码转换为latex 1.3 latex向mathml的转换 1.4 mathml粘贴到word 1.5 word转mathml 1.5.1 干法 1.5.2 注意要点 2 离线工具 2.1 mathml2latex 2.2 latex转word 2.2.1 一个前端开源项目 2.2.2 一个pyqt的界面程…
阅读更多...
今日学习打卡

今日学习打卡

1.nlp:CNN 2.ml:PCA （最小重构代价；SVD角度；概率角度） 3.resnet 未学完 CNN: word_2_index[word] word_2_index.get(word,len(word_2_index)) 这句话的意思是，若索引到了则不改变键值对，若索引不到就增…
阅读更多...
机器学习算法（十三）：word2vec

机器学习算法（十三）：word2vec

目录 1 单词表达 1.1 Word embedding 1.2 独热（One hot representation） 1.2.1 独热编码介绍 1.2.2 优缺点分析 1.3 Dristributed representation 1.4 共现矩阵 (Cocurrence matrix) 3 word2vec 3.1 word2vec介绍 3.2 CBOW模型 3.2.1 Simple…
阅读更多...
CSIC2010学习Word2vec表示及可视化

CSIC2010学习Word2vec表示及可视化

1、sudo apt-get install liblapack-dev 2、sudo apt-get install gfortran 3、sudo apt-get install python-pandas 4、sudo pip install --upgrade gensim 5、sudo pip install jieba 6、sudo pip install theano (0.7) 根据给定词生成word2vec词向量 # -*- coding: utf-8 …
阅读更多...
机器学习算法实现解析——word2vec源码解析

机器学习算法实现解析——word2vec源码解析

在wrod2vec工具中，有如下的几个比较重要的概念： CBOWSkip-GramHierarchical SoftmaxNegative Sampling 其中CBOW和Skip-Gram是word2vec工具中使用到的两种不同的语言模型，而Hierarchical Softmax和Negative Sampling是对以上的两种模型的具…
阅读更多...
【Word】学习笔记｜批量解决文档中公式编号不居中的问题

【Word】学习笔记｜批量解决文档中公式编号不居中的问题

1. 问题描述 当你将一个Word中内容（包含公式）复制到另外一个Ward里，发现MathType公式编号未居中，如上图所示。如果你公式较少，可以参考官方教程解决，就是将段落→中文版式→文本对齐方式中设置为居中就行。…
阅读更多...
打开word会自动出现页眉的解决方法

打开word会自动出现页眉的解决方法

打开word会自动出现页眉的解决方法 文章目录 打开word会自动出现页眉的解决方法1. 问题描述2. 解决方法 1. 问题描述 当没有其他word文档打开时，新建并打开一个word文档，并不会自动出现页眉。 但是当已经打开了一个word文档，此时再新建并打…
阅读更多...
深度学习(六) Word Embedding

深度学习(六) Word Embedding

Word Embedding 前言一、One-hot编码1.为什么使用one-hot编码？2.什么是one-hot编码？3.one-hot编码的优缺点 二、Word Embedding(词嵌入)1.什么是Word Embedding?2.Word Embedding的优点:3.基于计数的Word Embedding1.基于计数的Word Embedding的优缺点2…
阅读更多...
word学习小结1

word学习小结1

最近偶然看到个WORD学习视频，网易得，不错，12节比较短，说得不错，日常工作中容易忽视得WORD技巧，总结之 1 比如 姓名： XXX 编号： XXX 一般输入姓名后，都…
阅读更多...
Word样式设置

Word样式设置

硕博毕业论文Word样式设置 一般用Word写作的时候，只需要将文字编辑就好了，但是在后期需要调整格式的时候就会觉得费心费力，尤其是像是毕业论文这种动辄上万字的文件。这时候就会想，要是可以用LaTeX这样的样式提前设置好&#xff…
阅读更多...
Word 【域】学习笔记

Word 【域】学习笔记

Word 【域】学习笔记 编辑了域没反应，记得更新一下试试热键插入域代码实例引用标题的页码域计算第一页从正文开始分节后总页数设置使用变量定义变量使用函数自定义文档属性添加自定义文档属性使用自定义文档属性 参考资料 编辑了域没反应，记得更新一下试…
阅读更多...
深度学习 三 ：深入浅出 Word2vec--图文解读原理 一

深度学习 三 ：深入浅出 Word2vec--图文解读原理 一

鸣谢！！！ 深入浅出 Word2vec–图文解读原理 二 文章很长请耐心阅读，但一定会有收获！！！ embedding 是机器学习中最迷人的想法之一。如果你曾经使用Siri、Google Assistant、Alexa、Google翻译&a…
阅读更多...
Word进阶学习总结

Word进阶学习总结

一:前言 word从来不是一个需要花费很多时间的工具，如果你花费了很多时间，思考一下是不是方法不合理或者解决问题的思维不正确 未来在做文档的时候推荐 边输入边设置样式 常用的设计方法如下： 设置页面 设置样式 设置分节 …
阅读更多...
推荐文章

Copyright @ 2022~2023