App隐私合规检测的技术原理

APP 隐私合规检测的目标，是识别 App 是否在合法、正当、必要的前提下处理个人信息。
从技术实现上，主流检测方法可以分为：静态检测、动态检测。

一、静态检测

在不运行 App 的前提下，对 APK 安装包（或源代码）进行反编译与分析，从代码层面识别潜在的隐私风险。

1.1 典型分析对象

1.1.1 敏感API

• 代码中是否有获取个人信息或设备信息的 API
• 如：IMEI、Android ID、MAC、位置信息、通讯录等

1.1.2 第三方 SDK / 组件

• 是否引入第三方 SDK
• SDK 的包名、版本、厂商
• SDK 潜在的数据采集能力

1.1.3 权限清单（Manifest文件声明）

• 声明了哪些权限
• 权限是否与功能、业务场景匹配
• 是否存在明显的“超范围申请”

1.2 优点

• 不依赖运行环境
• 覆盖全面、效率高
• 适合大规模自动扫描

1.3 局限性

• 无法确认是否真实执行，例如有的函数在使用过程中并没有被调用
• 缺少上下文行为分析，容易出现误报，
• 对混淆、反射、Native 层支持有限，对抗常见容易被绕过

二、动态检测

在模拟器或真机环境中运行 App，通过实际执行过程，监控函数的调用、流量抓包、堆栈分析等观察其在真实场景下的隐私处理行为。

1.1 常见手段

• UI 自动化 / 手工点击
• 系统行为监控
• API 调用监控
• 网络流量抓包

1.2 关注点包括

• 实际采集了哪些个人信息
• 是否在用户同意前采集
• 是否存在后台、持续采集
• 是否上传数据至远端服务器
• 是否存在明文或弱加密传输

1.3 优点

• 能反映真实运行行为
• 可验证静态检测结果
• 对“是否发生”判断更准确

1.4 局限性

动态检测能够验证 APP 的实际运行行为，但受成本、覆盖路径、反检测机制以及实现复杂度等因素限制，难以作为单一、全量的隐私合规检测手段，通常需要与静态检测和流量侧分析相结合，形成多维度、交叉验证的检测体系。

1）行为触发依赖运行路径，覆盖不完整

• 隐私相关行为往往只在特定页面、特定操作或特定时机触发；
• 自动化脚本难以穷举所有用户路径，未被触发的代码逻辑在动态检测中无法被观测；
• 因此存在“代码中存在，但检测过程中未执行”的漏报风险。

2）容易受到反调试与反检测机制影响

• 部分 APP 或第三方 SDK 会主动检测调试环境、Hook 框架、模拟器特征等异常状态；
• 一旦识别为检测环境，可能隐藏真实逻辑、延迟执行或直接终止敏感行为；
• 导致检测结果与真实用户环境下的行为存在偏差，增加假阴性风险。

3）对 Native 层与复杂实现支持有限

• 若敏感信息采集发生在 Native 层（C/C++、so 库），仅基于 Java 层的 Hook 和监控手段可能无法感知；
• 对混淆、加壳、自定义加密等复杂实现方式，动态检测的可观测性进一步受限。

4）检测结果受环境影响较大

• 不同系统版本、ROM、设备型号、网络环境可能导致行为差异；
• 单一检测环境下得到的结果，难以完全代表所有用户终端的真实情况

2、Hook

Hook 是在程序运行过程中，“拦截”某些函数调用，在函数执行前或执行后插入自定义逻辑，用于监控或修改程序行为。
从而实现：

• 拦截敏感函数调用
• 记录函数参数和返回值
• 判断调用时机（是否在授权前）
• 修改返回值（用于验证依赖关系）

简单说，Hook 就像在 App 原本的函数里“偷偷加一段代码”，你可以监视、篡改或记录它的行为。
frida、Xposed 都是常见的hook工具。

3、流量和堆栈

通过堆栈可以看到函数的调用路径，通过流量能发现敏感信息的采集情况。

项目	堆栈分析	流量分析
本质	静态/动态运行时的函数调用路径（主要是代码行为）	网络传输的数据包内容（APP与服务器通信的数据）
能看到的内容	哪个SDK调用了什么API，例如 getIMEI()、getLocation()	数据是否被实际发送出去了，发送到哪里、是否加密
是否能看到数据内容	不能（只看调用函数、传参不一定能完整看到）	可以（尤其在明文或可解密时能看到完整数据）
典型工具	Frida、Xposed、Appetizer、Bugly堆栈	Fiddler、Charles、Wireshark、mitmproxy、HttpCanary
可被绕过情况	厂商用 native C 层采集、反调试绕过、反Hook绕过	数据加密（如HTTPS + 自定义加密）

堆栈结合流量分析的必要性：

• 通过堆栈发现有调用相关采集的方法函数，但可以本地存储或延迟上传，这样抓包的流量是无法发现的；
• 流量里面也是可以加密的，这样即使被抓包了也难以直接发现；
• 有些采集行为不通过Java层API，而是native层/so库处理，Hook不到，堆栈无法发现(但是流量检测可以发现）；
• 有些SDK经过混淆/反调试，绕过了堆栈监控，堆栈也无法发现，如下：

情形	能否堆栈发现	能否流量发现	说明
明确调用了采集API但未发送	✅ 是	❌ 否	数据只采集不上传（或延迟上传）
用 native 绕过 SDK 采集敏感数据	❌ 否	✅ 是	堆栈看不到，数据实际发出
数据通过第三方 SDK 加密上报	✅ 是（能看到API调用）	❓ 视加密情况而定	流量能看到发送但可能看不懂内容
使用 obfuscation + 加壳 + 加密	❓ 不一定	❓ 不一定	需要同时使用两种方法配合逆向才能发现

三、常见敏感字段、以及获取函数

3.1 设备标识符信息

敏感字段	常见函数 / 方式	所属层	备注
IMEI	TelephonyManager.getImei()	Java	Android 8+
IMEI	getDeviceId()	Java	老版本
IMEI	ITelephony.getDeviceId()	Binder / Hidden API	常见规避点
IMEI	native ioctl / sysfs	Native	静态难
Android ID	Settings.Secure.getString(ANDROID_ID)	Java	重点
序列号	Build.getSerial()	Java	Android 9+ 受限
序列号	Build.SERIAL	Java	老版本
OAID	各厂商 SDK	SDK	合规重点
VAID / AAID	厂商 SDK	SDK	国内常见

3.2 网络与硬件标识

敏感字段	常见函数	备注
MAC 地址	NetworkInterface.getHardwareAddress()	常见绕权限
MAC 地址	/sys/class/net/wlan0/address	Native
IP 地址	WifiInfo.getIpAddress()	局域网
BSSID（路由器 MAC）	WifiInfo.getBSSID()	可推断位置
SSID （WIFI名称）	WifiInfo.getSSID()	位置信息
蓝牙 MAC	BluetoothAdapter.getAddress()	Android 6+ 受限

3.3 位置信息

敏感字段	获取方式	说明
GPS 经纬度	Location.getLatitude()	精确位置
GPS 经纬度	getLongitude()
基站位置	CellLocation / CellInfo	间接定位
Wi-Fi 定位	BSSID + 扫描结果	组合风险

3.4 用户信息

敏感字段	函数	备注
手机号	getLine1Number()	高度敏感
IMSI	getSubscriberId()
ICCID	getSimSerialNumber()
账户	AccountManager.getAccounts()

3.5 设备与身份类权限

权限	能力	常见关联 API
READ_PHONE_STATE	设备 / SIM 信息	getImei()、getSubscriberId()
READ_PRIVILEGED_PHONE_STATE	系统级	系统应用
READ_BASIC_PHONE_STATE	Android 13+	弱化版

3.6 位置权限

权限	精度	典型 API
ACCESS_FINE_LOCATION	精确	GPS
ACCESS_COARSE_LOCATION	模糊	Wi-Fi / 基站
ACCESS_BACKGROUND_LOCATION	后台	Android 10+
BLUETOOTH_SCAN	间接定位	Android 12+

3.7 通讯录/通信

权限	能力
READ_CONTACTS	读取联系人
READ_CALL_LOG	通话记录
READ_SMS	短信
RECEIVE_SMS	接收短信

3.8 音视频与传感器

权限	能力
RECORD_AUDIO	麦克风
CAMERA	摄像头
BODY_SENSORS	传感器
ACTIVITY_RECOGNITION	行为识别

3.9 存储与文件

权限	能力
READ_EXTERNAL_STORAGE	读取
WRITE_EXTERNAL_STORAGE	写入
MANAGE_EXTERNAL_STORAGE	全盘

SDK偷采的行为如何检测：
SDK 即使没有在 Manifest 中声明权限，也可能通过宿主权限、不依赖权限的 API、反射或 Native 层方式采集信息，因此隐私检测不能只看声明，而必须以行为为核心，通过静态识别能力、动态 Hook 实际调用、以及流量侧是否上传形成闭环判断。

WIFI为什么也能定位地理信息
同时，Wi-Fi 信息本身虽然不是经纬度，但 BSSID、SSID 等可以通过全球 Wi-Fi 指纹库反推出用户位置，因此在 Android 和合规实践中，Wi-Fi 扫描能力等同于位置能力，需要按位置信息进行管理。
蓝牙信息也能推断出用户的模糊位置。