南都周刊采访人员 | 孙雅茜
1月12日 ， 有网友上传系列视频 ， 爆出了自己在参与拼多多App活动时的遭遇：参加App裂变活动 ， 邀请新用户返现一百元 ， 结果钱没拿到 ， 证据截屏还被App远程删除 。 剑指拼多多App“利用安装时赋予的权限侵犯用户隐私” ， 手机照片可以删除 ， 用户还有什么隐私可言？”
此事随即引爆社交媒体 ， #网友称被拼多多App远程删除图片#话题冲上热搜第一 。
文章图片
图源：cfp
南都周刊采访人员实测发现 ， 在vivo手机中 ， 拼多多App为操作系统预装 ， 运行时需要用户授予存储权限 。 但对于具体授予的是读取还是写入权限 ， 并未进行清晰说明 。 依据vivo客服解释 ， 应用在获取权限后 ， 可以针对手机的整个存储目录进行读取或者写入 。
网友指责拼多多远程删除用户照片
据爆料网友介绍 ， 其最初是参加拼多多App上的“邀请1人 ， 直接提现100元”的获客活动 ， 但在其成功邀请新用户后 ， 只收到了随机金额的提现优惠 ， 并非广告中所称“提现100元” ， 于是向客服反馈 。 反馈过程中 ， 该网友曾向客服表示 ， 自己有邀请后的全程录像以及重要截图拍照证据 。
但让该名网友意想不到的是 ， 自己手机在此之后弹出了提示：“检测到‘拼多多’已删除了相册里的照片或视频” ， 自己手机中的上述取证照片被删除 ， 出现在“最近删除”的文件夹内 。
文章图片
对此 ， 该名网友认为 ， 是拼多多App远程删除了自己手机上的证据照片 ， 并表示拼多多方面已向其否认删除照片一事 ， 称可以“从经济补偿角度出发 ， 补贴30元无门槛代金券” 。
拼多多回应称删除文件为“缓存图片”
1月12日晚间7时许 ， 拼多多官方博账号就此事发表公开说明 ， 称用户在拼多多App客服聊天页面中“拍摄”图片 ， 如在发送前进行了剪裁、美化等编辑动作 ， 会删除App在美化前“缓存”在系统相册的图片 ， “这导致了vivo系统认为有删除图片的操作” 。
文章图片
然而 ， 上述回应并未完全平息舆论的相关质疑 。 在拼多多官方回应的微博下评论区中 ， 有网友直言 ， 被删照片用户的图片为系统截图功能生成 ， “又不是用拼多多拍照 ， 为什么还能删？”
依据爆料网友此前提供的视频内容 ， vivo官方客服曾向其解释称 ， 用户允许对应的权限 ， 该软件就可以获取到对应信息 。
App获取的存储授权到底是什么权限？用户的知情权是否被满足？
南都周刊采访人员在vivo手机中实测发现 ， 首次运行拼多多App时 ， 用户将收到有关存储权限的授权申请弹窗 ， 提示用户“‘拼多多请求存储权限 ， 是否允许？”但对于请求授权的存储权限具体包括读取还是写入 ， 并没有清晰的说明 。
文章图片
vivo iQOO U3手机上 ， 安装运行拼多多App时 ， 自动弹出的授权申请
甚至手机设置内的三级菜单——权限管理页面上 ， vivo系统也并未对各App的“存储”权限所涉具体内容向用户明确 。 Vivo手机用户仅能选择“允许”或“禁止” ， 无法分别就“读取”和“写入”功能进行分别授权 。
文章图片
用户只能选择“允许”或“禁止”存储授权 ， 无法就“读取”和“写入”分别授权
vivo客服向南都周刊采访人员表示 ， 应用在获权受取权限后 ， 可以在手机存储目录读取或者写入 ， “这一读写数据的授权范围是整个手机” 。
软件开发业内人士向南都周刊采访人员证实 ， 存储功能包括了数据读取和写入 。 App的更新、升级、缓存均需要使用写入权限 ， 因而需要获取手机“存储”授权 。 因为没有更加细化权限控制 ， 读与写的权限在vivo等众多安卓手机当前的主流操作系统——安卓10中 ， 必须一次性同时授予 。 主动向用户申请授权存储读写功能的App并不在少数 ， 淘宝、京东、知乎甚至微信等App均会向用户“默认”弹出上述授权申请 。
在南都周刊采访人员的实测中 ， 这种向用户提出的授权请求表述并不是非常的清晰 。
文章图片
华为Mate 30 Pro 手机上 ， 安装运行拼多多App时弹出的授权请求
例如在华为手机中 ， 有关存储权限的请求表述为“是否允许某App访问您设备上的照片、媒体内容和文件？” 。 但在普通用户理解中 ， 中文表述的“访问”二字意在获取资料 ， 对应到存储功能 ， 应指的是“数据读取” ， 并不包括能够删除数据的“写入” 。
只有进入华为手机设置中的隐私权限管理的页面上 ， 上述“访问”授权才有了更清晰的解释——不仅有读取授权 ， 更包括了“修改或删除SD卡中内容”的相关权限 。
文章图片
华为手机系统设置中的隐私权限管理页面 ， 显示用户授权应用存储权限的行为 ， 包括了授权“修改或删除SD卡中的内容”
用户晓敏向南都周刊采访人员直言 ， 如果没有在看到热搜后专门到手机隐私权限管理的页面查看 ， 根本不会发现自己实际上已经授权了这些涉及个人隐私的权限 ， “不查不知道 ， 自己手机上167个应用 ， 有127个在查看时都显示已经被授权‘修改或删除SD卡中内容’” 。
晓敏说 ， 自己使用手机时从来没有主动对任何App进行过授权 ， 都是在正常使用过程中遇到App主动弹窗 ， 提示使用需要授权时才同意的 。 “而且授权时也没有任何提示显示 ， 这样的授权包括了对手机存储数据的删除权限” 。
从某种意义上来说 ， 大多数安卓手机用户正是在这样“一知半解”的亲自授权之下 ， 为手机App读取、写入用户数据打开了大门 。
App能够远程删除用户数据吗？
作为一款手机App ， 拼多多是否能做到远程删除用户手机内的其他软件数据？对于这一关注焦点 ， 多位软件开发业内人士向南都周刊采访人员证实 ， “从技术上可以实现” 。
具体到此次事件中 ， 爆料网友将证据视频发给拼多多客服的前提 ， 需要授权拼多多App读写手机存储的权限 。 有了读写权限授权 ， App如何找到并删除用户手机内的数据？
知乎网友“Nathan”给出了一种猜想路径：客服诱导用户发送所有证据——App记录用户发送文件路径——客服通过聊天内容判断是否删除用户发送过的文件——如需删除 ， 依据文件路径运用读写权限 ， 实现远程删除文件 。 “文件访问权限就可以实现远程文件管理 ， 客服通过配套工具可以像查看自己手机相册一样查看用户外部存储空间的所有文件 ， 只是实现起来比较复杂” ， “Nathan”说 。
但同时 ， 也有软件开发业内人士向南都周刊采访人员表示 ， 拼多多此次官方回应中提到的删除缓存照片被手机系统检测到的情况也存在可能性 ， “此次事件中具体是什么原因导致用户数据被删 ， 还需要手机方vivo给予详细说明” 。 即便如此 ， 这种产品设计思路也是对用户隐私的无视 。
1月12日晚间 ， 南都周刊采访人员就此问题联系了vivo方面 ， 并提出采访诉求 ， 但截至发稿仍未收到回复 。
QQ也曾被指删除用户图片
究竟是App删除缓存图片被手机系统“误识别” ， 还是拼多多App真的远程删除了用户数据？对大多数普通用户而言 ， 该事实认定截止目前仍欠缺有效证明 。 但对安卓用户来说 ， 被手机系统提示手机App删除照片的争端 ， 已不是第一次见诸互联网舆论场 。
2020年5月 ， 有多位阅文作家爆料称 ， 他们在QQ群聊的过程中 ， 保存到手机里的抵制阅文集团推出“霸权合同”的维权照片 ， 会立马被QQ软件自动偷偷删除 。 由于阅文集团的控股股东为腾讯 ， 而且“霸权合同”是在腾讯高管4月27日接管阅文后才被曝光 ， 腾讯和阅文被外界视为利益共同体 。
对此 ， 腾讯QQ官方于5月5日晚间发布《关于个别用户反馈“华为手机提示拦截QQ删除照片”的说明》 ， 称华为手机拦截并保护的图片是QQ内临时缓存图片 ， 保存在系统相册的照片并未被删除 。 目前正在与华为EMUI方面协商优化体验 。
次日 ， 华为手机产品线副总裁李小龙在微博长图回应关于图片视频删除保护功能 ， 其表示 ， 某些应用会自动删除手机上的图片 ， 华为手机在EMUI9.0系统上增加了图片视频删除保护功能 。 只要有第三方应用删除常用图库目录下的照片或视频 ， 就会通知提醒用户 ， 并且能够在图库回收站恢复刚删除的内容 。
李小龙称 ， “如果第三方应用不想让缓存图片被用户在系统图库下看到 ， 应该按照安卓规范在该缓存目录下添加nomedia属性 ， 这样缓存图片就不会被系统扫描到 。 ”
安卓系统缺失的“沙盒机制”
在采访中 ， 有软件开发业内人士向南都周刊采访人员直言 ， 能改数据 ， 是App的基本能力 ， 但改什么数据是App的自我修养 。
文章图片
无论是华为手机在EMUI9.0系统上增加的图片视频删除保护功能系统 ， 还是小米手机的MIUI图片防删功能 ， 甚至是此次事件中 ， vivo手机“检测到App删除图片主动提醒用户”的实际案例……众多安卓机厂商已经意识到了“读写权限同时授权”所带来的用户隐私风险问题 ， 并在自家开发系统中采取了相应的补偿机制 。
但要想从根本上解决这一问题 ， 当前业内共识是安卓系统底层采取“沙盒机制”：App只能在外部存储中访问自己的数据文件夹 ， 要访问音乐、照片、视频等共享媒体文件 ， App必须先请求用户给予特定于这些用途的权限 。 在这一机制下 ， 第三方App不能随意抓取用户拍摄的照片 ， 自然也就不能在未获得用户授权的情况下删除图片 。
【权限|#拼多多App远程删图#上热搜，你的手机还有隐私吗？】在最新Android 11系统中 ， 已经有相应的隔离机制 ， 但国内主流手机厂商基于原生Android 11的定制系统大部分还处在测试阶段 。
推荐阅读
- 多多|小米 12 系列开售，拼多多百亿补贴领券最高直降 300 元
- wx|微信网页版无法使用了？一步教你开通权限
- 双手柄|拼手速时间到 国行PS5将在明年1月1日新一轮补货
- 技术|首个数字文化产业生态联盟将在成都发起成立 亮点多多
- 包装盒|雷军晒图！为了防止小米12 Pro泄密，员工真拼：给手机包装盒上了8把锁
- 用户|央视曝光：App 禁止全部权限仍可获取用户信息
- 手机|一些APP禁止全部权限仍可获取用户信息
- 威霆|改装奔驰威霆七座豪华内饰，棕红拼白色，高清视频欣赏
- 生态|数据智能 | 元脑生态补强智算拼图，推动金融AI落地
- 威霆|改装奔驰威霆七座内饰，松花绿拼白色，高清视频欣赏