【动画】@App开发者们，你想了解的SDK安全风险都在这！******

　　日前，工业和信息化部信息通信管理局通报了今年第一批侵害用户权益行为App，有13款内嵌第三方SDK存在违规收集用户设备信息行为。

　　现如今，大量App借助SDK实现特定功能，提供便捷服务，满足用户多样需要，但APP使用SDK也可能带来相关安全问题，包括SDK自身安全漏洞、SDK恶意行为、SDK收集使用个人信息三类。

　　其中，SDK恶意行为是指嵌入APP中的SDK自身产生的恶意行为。这种恶意行为将破坏使用SDK的APP的安全性，对用户权益、数据等方面造成严重威胁。典型的恶意行为如流量劫持、资费消耗、隐私窃取等。

　　常见SDK恶意行为

　　流量劫持指SDK信息拉取、上报和展示目标App提供者设定的目标不同，恶意劫持App流量，可能对App造成损害；隐私窃取指SDK在用户不知情或误导用户的情况下，隐蔽窃取用户的通讯录、短信息等个人敏感信息，隐蔽进行拍照、录音等敏感行为，并发送给恶意开发者；广告刷量指SDK在最终用户不知情的情况下，在后台模拟人工点击广告链接进行牟利。

　　在SDK收集使用个人信息方面，安天移动安全发现，应用接入第三方SDK引发的违规收集个人信息问题较为普遍。其中，包括用户同意隐私政策前就开始收集个人信息、隐私政策中未明确提及所接入的SDK和数据收集情况、SDK收集的个人信息范围与隐私政策不相符等。

　　除了上述 SDK恶意行为外，当前 App 接入的 SDK 中还存在以上风险行为类型

　　在对某统计类SDK检测分析时研究发现，其主要提供用户行为统计功能，并在此过程中实现用户终端数据的收集和上传。

　　由于该SDK 在不同App中存在模块代码和版本的不同，因此对其在不同月活范围 App 中的数据收集行为进行抽样分析，从结果上来看，该SDK 普遍存在违规收集和超范围收集个人信息的问题，并且在月活较低的 App 接入的版本中，还存在通过云控参数控制 SDK 在终端侧收集数据范围的情况，并且涉及大量用户隐私路径数据的访问。

　　以某知名地图 App为例，在相关检测中发现，在隐私政策中明确提到了应用内第三方 SDK所收集的个人信息类型为设备信息和 Wi-Fi 地址。而实际上传的数据中除了包含 WiFi 的BSSID名称信息外，还频繁上传用户安装应用的列表信息。

　　国家标准计划《信息安全技术 移动互联网应用程序（App）收集个人信息基本要求》中明确定义了不同业务场景下，应用收集个人信息范围的最小化原则。而在应用接入的 SDK 中，收集个人信息范围、频度的必要性和最小化原则同样适用于SDK的功能业务场景。

　　虽然部分应用接入 SDK 时明示了 SDK 所收集的个人信息范围，但其合理性和必要性存疑，例如收集个人信息范围为软件安装列表，但实际除了收集安装应用包名信息外，还收集了安装应用运行状态信息等，这就涉及超范围收集个人信息。

　　例如，某统计类 SDK除了应用开发者本身主动调用相关事件接口外，SDK自身还注册监听了多种广播消息，在监听到相关消息后则会触发数据的收集和上传行为。例如对解锁屏、电源连接断开事件进行监听、对用户终端安装、卸载应用行为进行监听，除此以外，还会监听应用前台、后台的切换行为从而触发数据的收集和上传。

　　另外，当前 App 接入的 SDK 中还存在云端控制SDK行为，热更新技术控制 SDK 行为，后台拉活、自动下载安装、误触下载等风险行为。

　　（监制：张宁 策划：李政葳 制作：黎梦竹）

“新农具计划”首期收官，新农人玩转乡村振兴“新农具”******

　　中央农村工作会议明确，产业振兴是乡村振兴的重中之重。作为产业振兴的有力措施，直播正成为越来越多“新农人”手中的“新农具”。

　　1月11日，由重庆市政府联合腾讯西南总部、腾讯研究院、微信共同发起的数字化助力乡村振兴项目——“新农具计划”首期暨“百日火种行动”收官，支持新农人熟练掌握视频号、企业微信、小程序等数字化经营工具，降低农村网络交易门槛。

　　“从0到1”后“陪跑”100天

　　场均观看人数超过3000人，最高单场销售额超过1.1万元，凭借这一成绩，“唐老腊”成为“百日火种计划”的“冠军学员”。这一成绩，也让刚开播三个月的“新手主播”唐陈喜出望外。

　　2022年9月下旬，在当地政府的牵线搭桥下，“唐老腊”负责人唐陈和张石强参加了“新农具计划”。在为期两天的线下培训中，两位“新手”主播和来自巫溪、酉阳、彭水三县的新农人一起，学习了短视频、直播带货等数字化技术。

　　培训结束后，“百日火种计划”接续启动。在三个月的时间里，腾讯组织供应商百准、脸赋云一对一、手把手地指导主播的话术及场控、排品过品的逻辑、直播节奏的把握、直播间留人技巧，让品牌更有说服力。每场直播过后，团队还在讲师的带领下复盘直播表现，改进直播技术。“比如在开始直播的五分钟安排引流品，之后是福利品、爆款商品等，这样就可能吸引那些刷到直播的人，成为我们的顾客。”唐陈说。

　　“传统的短期电商培训一般只能帮助新农人度过数字化技能学习‘从0到1’的阶段，而在培训后技能‘返0’、培训效果‘归0’现象普遍存在，百日火种计划旨在解决这一痛点，不仅是从0到1，还在扶新农人‘上马’之后陪跑100天。” 腾讯公司副总裁、腾讯研究院院长司晓表示。

　　打通私域生态，复购率明显提升

　　视频号自身的流量，以及微信、企业微信、公众号等完整的生态，是何航鞋业负责人何财明选择视频号的原因。如今，何航鞋业手工制作的丝瓜络布鞋，已形成了从田间到车间，再到直播间“三间合一”的成熟产业链模式，带动当地近200人的创业就业。

　　如今，在视频号直播的同时，主播们也都会提醒观众添加微信、进入微信群，打通私域生态。凭借精细化运营，客户转化率和复购率明显提升。

　　“视频号是以社交推荐为主，朋友点赞、转发的越多，被推荐的可能性越大。再加上我们通过微信建立微信群、公众号，触及面非常大。”何财明说，“何航鞋业”的客户复购率高达30%-40%。

　　司晓认为，相比其他平台，微信视频号更聚焦于私域生态的优势。“商家通过直播把用户沉淀到私域，或者通过企业微信号、个人微信号把公域的流量沉淀到私域，再通过私域的精细化运营，把私域流量导入到公域直播间去成交。”

　　打造更多三农领域超级IP直播间

　　中央农村工作会议提出，要落实产业帮扶政策，做好“土特产”文章，依托农业农村特色资源，向开发农业多种功能、挖掘乡村多元价值要效益，向一二三产业融合发展要效益。

　　各大平台也都积极打通农业供应链，进一步拓宽销售渠道，拓宽农民增收致富渠道。视频号直播创新“快速度、短距离、少环节”新型电商销售模式，帮助各地的土特产成为俏货。微信、公众号、企业微信等也都积极响应国家“乡村振兴”战略，成为新农具，帮助新农人沉淀私域流量，撬动更多公域流量，实现数字化经营。

　　像“唐老腊”和“何航鞋业”一样，如今，一条条腊肉、一粒粒大米、一双双布鞋等特色好物正在通过视频号直播间，从重庆的田间地头来到全国各地消费者手中。

　　腾讯公司副总裁兼西南区总经理蔡光忠表示，全国上千个县各有特色，无论是当地特色美食、农副产品还是个体品牌，都可以打造“视频号头部县域IP直播间”，培养享誉一方的地域性头部县域品牌。下一步，“视频号新农具火种计划”将会利用资源和经验，在更多县域都打造出多个具有影响力的三农领域超级IP直播间。

　　“我们将扎实推进电商产业融合发展，进一步挖掘、培育各地‘名优特新’等适合网上销售的农产品，让更多的特色产品通过视频号平台走出去，推动产业振兴更上新台阶。”蔡光忠说，“同时，我们也将继续以培训为切口，助力农村人才培训，帮助他们补链条、兴业态、树品牌，增强市场竞争力和可持续发展能力。”