【动画】@App开发者们 ，你想了解的SDK安全风险都在这 ！******
日前，工业和信息化部信息通信管理局通报了今年第一批侵害用户权益行为App ，有13款内嵌第三方SDK存在违规收集用户设备信息行为。
现如今 ，大量App借助SDK实现特定功能，提供便捷服务 ，满足用户多样需要 ，但APP使用SDK也可能带来相关安全问题，包括SDK自身安全漏洞、SDK恶意行为 、SDK收集使用个人信息三类。
其中 ，SDK恶意行为 是指嵌入APP中的SDK自身产生的恶意行为 。这种恶意行为将破坏使用SDK的APP 的安全性 ，对用户权益 、数据等方面造成严重威胁 。典型的恶意行为如流量劫持、资费消耗 、隐私窃取等。
常见SDK恶意行为
流量劫持指SDK信息拉取 、上报和展示目标App提供者设定 的目标不同，恶意劫持App流量 ，可能对App造成损害 ；隐私窃取指SDK在用户不知情或误导用户的情况下，隐蔽窃取用户的通讯录 、短信息等个人敏感信息 ，隐蔽进行拍照、录音等敏感行为，并发送给恶意开发者；广告刷量指SDK在最终用户不知情 的情况下 ，在后台模拟人工点击广告链接进行牟利 。
在SDK收集使用个人信息方面，安天移动安全发现 ，应用接入第三方SDK引发的违规收集个人信息问题较为普遍 。其中，包括用户同意隐私政策前就开始收集个人信息、隐私政策中未明确提及所接入的SDK和数据收集情况 、SDK收集 的个人信息范围与隐私政策不相符等 。
除了上述 SDK恶意行为外，当前 App 接入 的 SDK 中还存在以上风险行为类型
在对某统计类SDK检测分析时研究发现 ，其主要提供用户行为统计功能，并在此过程中实现用户终端数据的收集和上传 。
由于该SDK 在不同App中存在模块代码和版本 的不同，因此对其在不同月活范围 App 中 的数据收集行为进行抽样分析 ，从结果上来看 ，该SDK 普遍存在违规收集和超范围收集个人信息 的问题，并且在月活较低的 App 接入 的版本中，还存在通过云控参数控制 SDK 在终端侧收集数据范围 的情况 ，并且涉及大量用户隐私路径数据的访问。
以某知名地图 App为例 ，在相关检测中发现 ，在隐私政策中明确提到了应用内第三方 SDK所收集的个人信息类型为设备信息和 Wi-Fi 地址 。而实际上传的数据中除了包含 WiFi 的BSSID名称信息外，还频繁上传用户安装应用的列表信息。
国家标准计划《信息安全技术 移动互联网应用程序（App）收集个人信息基本要求》中明确定义了不同业务场景下 ，应用收集个人信息范围的最小化原则 。而在应用接入的 SDK 中 ，收集个人信息范围、频度的必要性和最小化原则同样适用于SDK的功能业务场景。
虽然部分应用接入 SDK 时明示了 SDK 所收集 的个人信息范围 ，但其合理性和必要性存疑 ，例如收集个人信息范围为软件安装列表，但实际除了收集安装应用包名信息外，还收集了安装应用运行状态信息等 ，这就涉及超范围收集个人信息。
例如，某统计类 SDK除了应用开发者本身主动调用相关事件接口外 ，SDK自身还注册监听了多种广播消息 ，在监听到相关消息后则会触发数据的收集和上传行为 。例如对解锁屏 、电源连接断开事件进行监听 、对用户终端安装、卸载应用行为进行监听 ，除此以外 ，还会监听应用前台、后台 的切换行为从而触发数据的收集和上传 。
另外，当前 App 接入的 SDK 中还存在云端控制SDK行为 ，热更新技术控制 SDK 行为，后台拉活、自动下载安装 、误触下载等风险行为 。
（监制 ：张宁 策划 ：李政葳 制作 ：黎梦竹）
新闻写作中 的人格化手法******
谭宏伟
人最关心自己的同类。
写给人看的新闻不应忽视人 。
如果在新闻导语或新闻主体中注入人的因素 ，使新闻人格化，无疑会引起读者 的注意 ，增强新闻 的可读性 。
人格化 是一种写作技巧，美国新闻学者麦尔文•曼切尔把它解释为 ：“找出一个人 ，一个有代表性 的人，他是受影响的或者卷入 的，把这个人作为某一情况、或者这一情况 的原因或后果的例子而写 。”包括写人的语言 、人 的神态、人的动作、人的感觉，总之 是人的外在和内在。
人格化的最大优势在于它可以使抽象 的东西具体化，缩短读者与新闻 的距离。这一点在涉及抽象东西诸如思想、发展 、态势等报道中表现尤其突出。请看下例：
中新社北京电 一位顾客理完发 ，起身准备付款。但他被告知，由于理得不太成功店里不收他钱 。
北京石景山区的这家春光理发店不久前租赁给私人经营了，店经理说 ，坚持这种优质服务 ，“会给我们带来更多 的顾客。”
这 是一篇题为《租赁使北京的服务业充满生气》电讯的导语。租赁制 是当时北京经济领域的一个新态势，文章突破了枯燥 的统计数字加呆板 的叙述模式 ，而是以一位顾客 的经历(理发)似乎又有些出人意料 的经历(理发不付钱)为开篇引出下文租赁制对整个北京服务业的影响。这样，读者就通过一个人的亲身经历来体会租赁制使北京服务业充满生气 的空泛概念 ，抽象的“租赁”具体化了，使读者易于理解 、易于接受 。
人格化的手法可以增加新闻的现场感 。因为人格化 的手法往往 是通过活跃在新闻现场 的人的活动来表现 。请看下例 ：
中新社北京电 数不清 的目光投向一位斜戴法兰绒帽子、披着时髦的砖红色春季女大衣 的风姿绰约 的女郎 。当北京市春夏时装展销会今天在北京展览馆开幕时 ，这个放在进门大厅 的模特成了最引人注目的人物 。
观众像潮水一般涌入展销会的大门。
……
这是一篇题为《北京市春夏时装展销会开幕》消息 的导语 。这则普普通通的展销会新闻由于导语中这位“风姿绰约 的女郎”而增色不少 。“数不清 的目光投向一位斜戴法兰绒帽子 、披着时髦 的砖红色春季女大衣 的风姿绰约的女郎 。”一语勾画出展销会进门大厅的现场气氛 。读者受其感染自然也同文中观众一样被这位模特所吸引。对记者接下来描述发生兴趣 ，记者描述了展销会 的规模、品种、销售情况 ，其中包括最受欢迎 的和最受冷落的服装。由于文章有很强的现场感，读者看这条消息仿佛亲历展销会现场 。现场感会令读者兴味大增 。
人格化的手法，由于注重写人 ，因而使新闻有人情味 。请看下例：
美联社伦敦电 诞生刚刚四星期 的吉玛•查瓦茨基得到了一件独特的礼物——一位电子计算机“保姆”。
这个“保姆”没有围裙和温暖的怀抱 ，却有磁带和打字键盘。
它的名字叫“奥卡三世” ，孩子们无需叫她“阿姨”。吉玛 的父亲、二十八岁 的电子计算机专家詹米•查瓦茨基 是这具电子保姆 的研制者 ，他说 ：“父母对孩子 的爱 是任何东西都不能代替 的。我们也并不打算用它代替”。
……
小吉玛哭闹的时候，他可以哄她，给她讲故事 。到孩子学说话时，奥卡三世也能教她说英语、法语和德语 。
……
事实上 ，奥卡三世不光是个保姆 。它的身上还装了各种家务事的程序——它能拉开电灯 、打开汽车车库大门、甚至还能防盗 、防贼 。
……
这是一篇很精彩 的科技新闻。没有晦涩难懂 的科技术语。读者 是在计算机保姆和一般保姆对比中了解它“没有围裙和温暖 的怀抱 ，却有磁带和打字键盘”的特点 ；认识它能哄小孩、会讲故事、能教多种语言等功能。尽管文中没有提到一般保姆 的特点，但是它在描述计算机保姆的特点、性能无疑是以人为参照 的。这也正是其巧妙之处。这篇科技新闻由于使用人格化的手法而跳出专业技术性 的圈子，写得生动而有实感，很有人情味 。
尽管人格化 的写作手法能变抽象为具体，能使新闻更具现场感、更有人情味，但 是 ，如用得不巧妙 ，会适得其反。因为：
人格化 的写作手法有一定 的适用范围，不是对所有的新闻题材都适用 。一般来讲 ，在涉及抽象 的、不易理解的东西时运用较多 ，例如综合性经济新闻、科技新闻等。涉及具体 的极易理解的东西时如重大新闻事件的报道中不适用。
人格化毕竟是一种技巧。就像形式要为内容服务一样 ，新闻写作技巧 是为新闻主旨服务 的。如果使用这种手法，即所描写 的人 的行为和意识对揭示新闻 的主旨无直接关系，那么大可不必多此一举。
人格化这种写作手法自身也有局限 。采用人格化 的手法时，在导语中往往不具备新闻的五大要素 ，新闻事实也是在新闻主体中逐渐展开，这样容易拉长文章的篇幅，放慢文章节奏 。
尤其值得一提 的是，人格化 的写作手法其核心 是注重写人，写有典型意义 的人 ，因而记者平日要注意观察与某一新闻事件相关或直接受其影响 的人；观察他们 的喜怒哀乐 、举手投足。善于分析人与新闻事件 的因果关系 。这样才能防止偏颇 。
(历史资料)
