大发平台官网平台|大发平台手机版

【动画】@App开发者们，你想了解的SDK安全风险都在这！******

　　日前，工业和信息化部信息通信管理局通报了今年第一批侵害用户权益行为App，有13款内嵌第三方SDK存在违规收集用户设备信息行为。

　　现如今，大量App借助SDK实现特定功能，提供便捷服务，满足用户多样需要，但APP使用SDK也可能带来相关安全问题，包括SDK自身安全漏洞、SDK恶意行为、SDK收集使用个人信息三类。

　　其中，SDK恶意行为是指嵌入APP中的SDK自身产生的恶意行为。这种恶意行为将破坏使用SDK的APP的安全性，对用户权益、数据等方面造成严重威胁。典型的恶意行为如流量劫持、资费消耗、隐私窃取等。

　　常见SDK恶意行为

　　流量劫持指SDK信息拉取、上报和展示目标App提供者设定的目标不同，恶意劫持App流量，可能对App造成损害；隐私窃取指SDK在用户不知情或误导用户的情况下，隐蔽窃取用户的通讯录、短信息等个人敏感信息，隐蔽进行拍照、录音等敏感行为，并发送给恶意开发者；广告刷量指SDK在最终用户不知情的情况下，在后台模拟人工点击广告链接进行牟利。

　　在SDK收集使用个人信息方面，安天移动安全发现，应用接入第三方SDK引发的违规收集个人信息问题较为普遍。其中，包括用户同意隐私政策前就开始收集个人信息、隐私政策中未明确提及所接入的SDK和数据收集情况、SDK收集的个人信息范围与隐私政策不相符等。

　　除了上述 SDK恶意行为外，当前 App 接入的 SDK 中还存在以上风险行为类型

　　在对某统计类SDK检测分析时研究发现，其主要提供用户行为统计功能，并在此过程中实现用户终端数据的收集和上传。

　　由于该SDK 在不同App中存在模块代码和版本的不同，因此对其在不同月活范围 App 中的数据收集行为进行抽样分析，从结果上来看，该SDK 普遍存在违规收集和超范围收集个人信息的问题，并且在月活较低的 App 接入的版本中，还存在通过云控参数控制 SDK 在终端侧收集数据范围的情况，并且涉及大量用户隐私路径数据的访问。

　　以某知名地图 App为例，在相关检测中发现，在隐私政策中明确提到了应用内第三方 SDK所收集的个人信息类型为设备信息和 Wi-Fi 地址。而实际上传的数据中除了包含 WiFi 的BSSID名称信息外，还频繁上传用户安装应用的列表信息。

　　国家标准计划《信息安全技术 移动互联网应用程序（App）收集个人信息基本要求》中明确定义了不同业务场景下，应用收集个人信息范围的最小化原则。而在应用接入的 SDK 中，收集个人信息范围、频度的必要性和最小化原则同样适用于SDK的功能业务场景。

　　虽然部分应用接入 SDK 时明示了 SDK 所收集的个人信息范围，但其合理性和必要性存疑，例如收集个人信息范围为软件安装列表，但实际除了收集安装应用包名信息外，还收集了安装应用运行状态信息等，这就涉及超范围收集个人信息。

　　例如，某统计类 SDK除了应用开发者本身主动调用相关事件接口外，SDK自身还注册监听了多种广播消息，在监听到相关消息后则会触发数据的收集和上传行为。例如对解锁屏、电源连接断开事件进行监听、对用户终端安装、卸载应用行为进行监听，除此以外，还会监听应用前台、后台的切换行为从而触发数据的收集和上传。

　　另外，当前 App 接入的 SDK 中还存在云端控制SDK行为，热更新技术控制 SDK 行为，后台拉活、自动下载安装、误触下载等风险行为。

　　（监制：张宁 策划：李政葳 制作：黎梦竹）

当当低头京东 垂直电商迟暮******

　　1月10日，当当网宣布入驻京东，两者的纠葛最终化为一纸合作。回望过去13年间，当当网历经赴美上市、烧钱大打价格战的风光时刻，却也因资金失血、战略失焦、创始人内斗等问题陷入难以挽回的低谷。去年至今，垂类电商明星们要么接连倒下，要么转型为品牌商，全渠道开店寻找活路，当当网也会步其后尘吗？

　　1.2亿元的恩怨旧史

　　“商业战场上，没有永远的朋友，只有永远的利益。”当当网与京东的合作，再次印证了这句话。1月10日，京东图书与当当网在北京签订战略合作协议，当当官方旗舰店在京东全面上线。截至当天下午5点，当当官方旗舰店在京东平台获得了14.7万人的关注。

　　从曾经的鱼死网破到如今的一笑泯恩仇，这桩看似普通的商业合作背后，是当当网和京东长达13年的恩怨情仇。事实上，双方的第一次“交火”可以追溯到2010年。那一年，当当网可谓“凶猛”：年销图书销售额超过100亿元；国内网上图书零售市场份额占有率超过50%；第一家在纽约证券交易所挂牌的B2C网上商城。据了解，在上市当天，当当网股价随即上涨86%。

　　在诸多光环下，一时风光无两的当当网宣布拿出4000万元促销，并直接表示“所有畅销品价格将比其他数码类网上商城至少低50-100元”，而此处的“其他数码类网上商城”更是直接剑指以3C数码品类起家的京东。面对当当网下的“战书”，刘强东立马应战，拿出8000万元的双倍补贴进行促销。

　　剑拔弩张之下，双方一度“杀红了眼”。据过往媒体报道，彼时，刘强东称当当网曾经对所有出版社表示不得给京东供货，而当当网则反驳此举为“独家战略合作”，是市场竞争下的正常合作方式，并将图书价格降至0元，要求多家图书供货商承担促销费用。除了图书业务，在2012年3月，当当网还与国美联手强化家电品类，试图撬开京东的口子。

　　然而，轰轰烈烈的价格战尽管以当当网守住图书品类老大的地位告终，但持续的高额补贴也让当当网元气大伤。而另一边，京东却借着这场与图书行业龙头老大的“价格战”在自己刚布局不久的图书领域打响了知名度，加大了其向全品类拓展的步伐。

　　为“五斗米”折腰

　　时至今日，当当网经历了退市、创始人离婚等风波之后，早已失去了与京东相提并论的资格。此番合作，与其说是冰释前嫌，倒不如说是当当网不得不折腰的无奈之举。

　　上市之后，当当网曾表示“将有更充裕的资金在更多品类上实施‘天天低价’战略”。然而，展开“价格战”一年后，2011年当当网四季度财报显示，当季亏损为2060万美元，反观2010年同期，则是盈利235万美元，当当网在财报中表示，亏损的原因是毛利下降以及市场营销费用的支出扩大。

　　商业世界的沉浮，总是被相似的逻辑主导。在当当网2016年退市之前发布的最后三个季度的财报中，当当网在2015年一、二、三季度均同比转亏，净亏损分别为970万美元、2120万美元、410万美元。烧钱换不来增长，当当网不得不“低头”求和，向曾经的竞争对手抛出橄榄枝。

　　2012年，当当网入驻天猫时，当当网创始人李国庆便公开承认，入驻事宜是自己提出来的，李国庆曾说：“只要有好的流量，倒扣流水也比广告费便宜得多。”在微博平台，李国庆也表示“此一时彼一时”“从了，谁让人家流量大呢”。在与苏宁、国美、天猫、拼多多合作之后，当当网也逐渐在大众的眼里从平台方转换为商户。

　　与此同时，伴随着退市、创始人“抢公章”等风波，当当网引以为傲的图书经营业务也出现了问题。2022年7月，当当网深陷“盗版书”风波，有消费者因为在当当网“买9本书都是盗版”，且与平台客服沟通未果，将当当网告上了法庭。而此前，李国庆常常指责淘宝假货泛滥，甚至一度屏蔽了一淘对当当的数据抓取。

　　亏损扩大、主营品类“失火”，当当网的故事走向了结尾。“当当网在品类拓展上没有取得预期效果，随着天猫、京东和拼多多快速增长，以及微信小程序电商、抖音快手直播电商全品类发展，当当网全品类拓展上的资金、人才、用户获取、物流服务等方面不再有实力参与新旧综合电商平台的竞争”。零售电商行业专家、百联咨询创始人庄帅向北京商报记者说道。

　　垂直电商步入迷途

　　逐渐淡出用户视野的不止当当网一家。2022年以来，太多垂类赛道的明星玩家或倒闭，或挣扎在生存线边缘。易趣网、蜜芽、每日优鲜接连关闭主站，而洋码头、考拉海购则深陷资金流恶化或业务团队裁撤等困顿中，剩下的企业如叮咚买菜、兴盛优选等则选择大幅收缩战线保命。

　　特别是在流量大盘增幅到顶的情形下，再与综合电商拼抢流量，垂直电商越发显得力不从心。但后者似乎也不甘心黯然退出，而是利用平台前期积累的用户客群、品牌心智和供应链资源发力做自有品牌，并在综合电商、短视频平台多渠道开出品牌店铺。较之平台，垂直电商反而活得越来越像供应链公司。

　　哪有流量就去哪，为了活下来，企业不再瞻前顾后。例如在2020年9月，蜜芽创始人刘楠亲自在抖音为“兔头妈妈”自有品牌带货，而网易严选于2018年9月就已经在天猫、京东等平台开店，随后还入驻了拼多多、抖音和快手。2021年3月，洋码头开通抖音账号，将跨境供应链能力开放给抖音的主播和机构并提供选品服务。

　　及时调转船头确实显现出成效。网易严选数据显示，2022年“6·18”期间，网易严选淘系渠道销售额同比增长80%，而抖音快手渠道同比增长75%。

　　某种角度而言，垂直电商广泛扩展渠道虽能谋求更多利润来源，但并不代表着其可以侥幸逃过竞争，从平台方跳脱为品牌方更是要历经经营思路、供应链结构、业务人才储备等维度的剧烈转型。刘楠曾在接受媒体采访时对外坦言“在母婴行业做了十年，真正做品牌后才发现立场不同，思考问题的角度也完全不同”。据了解，未来刘楠计划在品牌研发上投入3000万元。

　　当当网的命运似乎也将殊途同归。庄帅向北京商报记者判断称，入驻京东意味着当当很有可能会放弃独立电商平台，转变为图书供应链公司与综合电商平台合作进行发展。

　　（文图：赵筱尘 巫邓炎）