【动画】@App开发者们，你想了解的SDK安全风险都在这！******
日前，工业和信息化部信息通信管理局通报了今年第一批侵害用户权益行为App，有13款内嵌第三方SDK存在违规收集用户设备信息行为。
现如今，大量App借助SDK实现特定功能，提供便捷服务，满足用户多样需要，但APP使用SDK也可能带来相关安全问题，包括SDK自身安全漏洞、SDK恶意行为、SDK收集使用个人信息三类。
其中，SDK恶意行为是指嵌入APP中的SDK自身产生的恶意行为。这种恶意行为将破坏使用SDK的APP的安全性，对用户权益、数据等方面造成严重威胁。典型的恶意行为如流量劫持、资费消耗、隐私窃取等。
常见SDK恶意行为
流量劫持指SDK信息拉取、上报和展示目标App提供者设定的目标不同，恶意劫持App流量，可能对App造成损害；隐私窃取指SDK在用户不知情或误导用户的情况下，隐蔽窃取用户的通讯录、短信息等个人敏感信息，隐蔽进行拍照、录音等敏感行为，并发送给恶意开发者；广告刷量指SDK在最终用户不知情的情况下，在后台模拟人工点击广告链接进行牟利。
在SDK收集使用个人信息方面，安天移动安全发现，应用接入第三方SDK引发的违规收集个人信息问题较为普遍。其中，包括用户同意隐私政策前就开始收集个人信息、隐私政策中未明确提及所接入的SDK和数据收集情况、SDK收集的个人信息范围与隐私政策不相符等。
除了上述 SDK恶意行为外，当前 App 接入的 SDK 中还存在以上风险行为类型
在对某统计类SDK检测分析时研究发现，其主要提供用户行为统计功能，并在此过程中实现用户终端数据的收集和上传。
由于该SDK 在不同App中存在模块代码和版本的不同，因此对其在不同月活范围 App 中的数据收集行为进行抽样分析，从结果上来看，该SDK 普遍存在违规收集和超范围收集个人信息的问题，并且在月活较低的 App 接入的版本中，还存在通过云控参数控制 SDK 在终端侧收集数据范围的情况，并且涉及大量用户隐私路径数据的访问。
以某知名地图 App为例，在相关检测中发现，在隐私政策中明确提到了应用内第三方 SDK所收集的个人信息类型为设备信息和 Wi-Fi 地址。而实际上传的数据中除了包含 WiFi 的BSSID名称信息外，还频繁上传用户安装应用的列表信息。
国家标准计划《信息安全技术 移动互联网应用程序（App）收集个人信息基本要求》中明确定义了不同业务场景下，应用收集个人信息范围的最小化原则。而在应用接入的 SDK 中，收集个人信息范围、频度的必要性和最小化原则同样适用于SDK的功能业务场景。
虽然部分应用接入 SDK 时明示了 SDK 所收集的个人信息范围，但其合理性和必要性存疑，例如收集个人信息范围为软件安装列表，但实际除了收集安装应用包名信息外，还收集了安装应用运行状态信息等，这就涉及超范围收集个人信息。
例如，某统计类 SDK除了应用开发者本身主动调用相关事件接口外，SDK自身还注册监听了多种广播消息，在监听到相关消息后则会触发数据的收集和上传行为。例如对解锁屏、电源连接断开事件进行监听、对用户终端安装、卸载应用行为进行监听，除此以外，还会监听应用前台、后台的切换行为从而触发数据的收集和上传。
另外，当前 App 接入的 SDK 中还存在云端控制SDK行为，热更新技术控制 SDK 行为，后台拉活、自动下载安装、误触下载等风险行为。
（监制：张宁 策划：李政葳 制作：黎梦竹）
古代皇家园林中的祥瑞******
贾珺
宋徽宗赵佶绘《瑞鹤图》现藏于辽宁省博物馆
中国历史上出现过无数祥瑞，在史书中留下了大量记载。
所谓“祥瑞”，就是突然降临人间的甘霖、彩云、神兽、仙禽、佳卉等稀罕之物，被认为是上天的嘉示，带有吉祥的征兆，寓意风调雨顺、国泰民安。古时每逢祥瑞出现，大臣都会上表庆贺，建议给天子加上尊号。
经过历朝历代的大力收罗，祥瑞的名目越来越多：以麒麟、凤凰、神龟、神龙、白虎“五灵”为最高的“嘉瑞”，以景星、庆云等六十四种天象为“大瑞”，以白狼、赤兔等二十八种走兽为“上瑞”，以苍鸟、赤雁等三十二种禽鸟为“中瑞”，以嘉禾、芝草、木连理等十四种植物为“下瑞”，后来又加上铜鼎、铜钟、玉罄、玉璧等器物，是为“杂瑞”，真是五花八门，蔚然大观。九州各地的山林郊野、城镇乡村，都留下过祥瑞的踪迹。值得注意的是，很多重要的祥瑞都以皇家园林为舞台，显得绚丽夺目。
元朔六年（前123年）十月，汉武帝刘彻在苑囿游猎时捕获了一只独角、五蹄的怪兽，他认为很吉利，便改年号为“元狩”。次年，骠骑将军霍去病率大军进击河西，连续击败匈奴各部，夺取祁连山，一路战果辉煌。
约在同一时期，建章宫的后阁重栏又跑出来一只怪兽，它的样子像是麋鹿，却又不是麋鹿。汉武帝亲往探看，见左右无人识得，便召东方朔前来辨认。东方朔先索要了大批赏赐，而后才告知汉武帝此兽的牙齿前后整齐如骑兵，名为“驺牙”，属祥瑞性质，预示着远方将有蛮夷归附。果然，一年后，匈奴浑邪王率十余万部族归降汉朝。
始元元年（前86年）二月，建章宫的太液池里降落了许多黄鹄，被视为汉朝“土德”的象征，汉昭帝刘弗陵为之作诗：“黄鹄飞兮下建章，羽肃肃兮行跄跄，金为衣兮菊为裳。唼喋荷荇，出入蒹葭。自顾菲薄，愧尔嘉祥。”在古书中，黄鹄是一种能高飞千里的神鸟，实际上或许是羽毛偏黄的天鹅。
汉昭帝没有子嗣，元凤三年（前78年）春传来报告，说上林苑中有一株枯柳重新长出枝叶，虫食其叶，噬出“公孙病已立”五个字，颇为怪异。后来有人解释道，“公孙病已”指的是前任太子刘据的孙子刘病已，刘病已长期流落民间，后养于掖庭，改名为刘询。这也是一个祥瑞，预示着他应该继位为君。元平元年（前74年）少帝刘贺被废后，霍光等大臣便拥刘询即位，是为汉宣帝。
元人绘《嘉禾图》现藏于台北故宫
元康四年（前62年）三月，成千上万的五彩神雀云集于上林苑，汉宣帝遂在第二年改年号为“神爵”——古时的“爵”通“雀”。之后几年中，不断有凤凰、神雀和甘露降临，汉宣帝在上林苑内建了一座凤凰殿，以示嘉祥。
洛阳华林园的前身是始建于东汉的芳林园。曹丕篡汉建立魏朝的第三年，有一大群秃鹫在芳林园的水池上聚集，说不清是凶是吉，搞得君臣不知所措。好在没过多久，水池边长出灵芝——这肯定是好兆头，众人方才松了一口气。
后来，魏明帝曹叡对芳林园大加扩建，还想把汉武帝在建章宫铸的承露盘搬过来。不料承露盘在搬运途中折断，魏明帝便下旨重铸了一尊，竖在园中，终于得到上天所降的“甘露”。曹植还奉旨专门作了一篇《承露盘颂》，以此来纪念这个祥瑞。
东晋迁都建康（今江苏南京），仿洛阳旧制建华林园，格局相似，被之后的宋、齐、梁、陈各朝继承。
宋文帝刘义隆的在位时间长达三十年，前期整顿朝政、减免赋税、复兴儒学，南朝的经济、文化一度有了很大发展。到后期，华林园中经常出现白獐、嘉禾之类的祥瑞，被认为是天下大治的吉相。但这段时间，王朝已然衰落，没过多久太子刘劭叛乱，宋文帝被叛将张超之所弑。
宋孝武帝刘骏在位期间，由于有紫气出现在华林园景阳楼上层西南的梁架之间，便将此楼更名为“景云楼”；清暑殿屋顶的鸱尾中央长出一棵五茎的嘉禾，由此更名为“嘉禾殿”；新建的一座琴堂，因堂前两棵橘树结出连理枝，被命名为“连玉堂”。宋孝武帝死后，长子刘子业继位，荒唐暴虐，很快就被叔叔、湘东王刘彧杀掉，几座建筑的名称又被改回。
刘彧登上皇位后，喜欢乘船在华林园的天渊池中游玩。一次，一条白鱼跳进了龙舟——《史记》记载当年周武王伐纣时，率军乘船渡河，也曾有白鱼入舟。这是一个大大的祥瑞，自然要吹嘘一番。
南齐建元三年（481年），华林园醴泉堂的东面升起一股圆形的祥云，周长十余丈，与景阳楼同高，五彩缤纷，光芒四射，缓缓向南飘浮，最后绕过长船，隐入天渊池——此情此景，很像外星人的飞碟出没。
至唐代，武则天以女主的身份临朝，唯恐人心不服，十分热衷于宣扬祥瑞。《唐诗纪事》记载天授二年（691年）腊月，有大臣诡称御苑中鲜花开放，是难得的祥瑞，以此诱骗武则天入园赏花，乘机发动叛乱。武则天识破了这个诡计，命人预先在园中四处装点假花，次日召群臣同游。预谋者见到隆冬之际百花绽放的奇景，以为天佑武后，便取消了原定的计划。
北宋景德五年（1008年）正月，宋真宗赵恒在宫中大宴群臣，即席宣布自己去年十一月做的一个奇怪的梦：有神仙告知只要在正殿虔诚做足一个月的道场，就能得到上天赏赐的“天书”。如今日期已满，不知是否应验？随后便有内司启奏，说左承天门南面的屋角鸱吻上挂着一卷黄帛，取下一看，果真是三篇“天书”。两天后，又有紫云覆盖宫殿，空中隐约有龙凤的影子。如此天降祥瑞，自然是普天同庆，宋真宗当即下旨改年号为“大中祥符”。
当年六月，“天书”再次在泰山醴泉北降临，地方官员连忙驰送京师，宋真宗亲自在皇家园林含芳园中奉迎天书，并将此园更名为“瑞圣园”。瑞圣园随即出现五彩云烟，又有一股形似凤凰的黄气在殿间萦绕，妙不可言。十月，宋真宗巡幸泰山，举行封禅大典。
政和二年（1112年）上元之次夕，汴京（今河南开封）的宣德门上空祥云环绕，一群仙鹤上下盘旋。宋徽宗赵佶与臣民一同观赏了这番奇景，龙心大悦，亲笔御制《瑞鹤图》，还题诗为记。有学者考证，这群仙鹤并非天外来客，而是皇家园林延福宫中人工豢养的珍禽，整件事完全是自导自演的闹剧。十五年后，金军攻破开封，宋徽宗和其子宋钦宗赵桓被掳往北国，那些瑞鹤早已不知所终。
明嘉靖二十三年（1544年），许多地方遭遇旱灾，边关又不安宁，明世宗朱厚熜为此焦躁不安之时，听到大臣报告“内苑嘉禾生茎双穗，凡六十有四”。这大概指的是西苑的御田长出了特别的稻穗，寓意着天下丰收。明世宗不禁大喜，遍告百官，让大家一同欢庆。
说来说去，古代皇家园林中这些所谓的“祥瑞”，大多是“人为”的成果，还有一些可能属于偶发的自然现象，与吉凶没有直接的关联。许多人对这“神奇”的祥瑞信以为真，无非是想表达一种美好的向往与期盼，但归根结底，并不能改变历史与自然的发展规律。
