微信频繁读取用户系统相册？

　　10月8日下午，微博 用户＂Hackl0us＂爆料称，微信APP在用户未主动激活的情况下，于苹果 手机后台反复读取系统相册内容。该消息引发网民广泛讨论，并迅速被推至微博热搜榜前列，根据后续用户评论，该博主发现QQ、淘宝等多款国产APP均存在疑似于后台反复读取相册的行为。
　　当日晚间，微信官方对相关问题进行了回复，称读取行为实际上是由于iOS系统为APP开发者提供相册更新通知标准能力，微信APP在提前准备时的行为会被记录为读取系统相册。
　　相关业内人士在接受21世纪经济报道记者采访时表示，以当前的技术手段较难从外部核实微信读取系统相册的目的，单就目前微信的回应来看，其解释是可以自圆其说的。且苹果iOS系统对后台读取行为相对较为敏感，用户可以设置相关系统功能最大限度保护自身隐私。但在APP自启动更为频繁，应用生态更加混乱的安卓系统中，用户信息被过度读取的情况也更加严重。
　　不安分的应用
　　据爆料博主描述，其发现微信等应用频繁读取的契机是一位朋友开启了iOS的隐私新特性＂记录APP活动＂，对所有APP的隐私读取行为进行7天监控，并使用App Privacy Insights软件查看了相关记录。
　　记录显示，在iOS 默认开启后台应用数据刷新，上次使用微信后上划返回主屏幕未彻底关闭后台，但用户前台未主动运行的情况下，在后台数次读取用户相册，每次读取时间40秒至1分钟不等。且从时间看，读取行为没有特定规律，在用户睡觉时微信也进行了读取，每次调取发生时用户并不知情。
　　微信在回复中称，iOS 系统为APP 开发者提供相册更新通知标准能力，相册发生内容更新时会通知到 APP，提醒 APP 可以提前做准备，APP 的该准备行为会被记录成读取系统相册。当用户授权微信可以读取＂系统相册权限＂后，为便于用户在微信聊天中按＂+＂时可以快速发图，微信使用了该系统能力，使用户发送图片体验更快速流畅。
　　微信表示，上述行为均仅在手机本地完成，最新版本中将取消对该系统能力的使用，优化快速发图功能。
　　上海申伦律师事务所律师夏海龙在接受21世纪经济报道记者采访时表示，后台频繁读取相册这一行为能否当然认为属于用户明示同意的一部分，仍要具体分析这一操作是否具有必要性、是否符合用户同意的目的、是否超出了最小范围等因素。
　　他指出，根据微信的回应看，该操作仅是对相册更新作出的一种＂准备＂，是为了方便用户发送图片，因此这一操作可能的确是保障用户体验所必须，但也应从技术角度进一步厘清这种＂准备读取＂与用户认知中＂读取＂的区别，使用更精准、严谨的术语来描述系统行为，避免产生误解。
　　值得注意的是，本次相册访问事件已不是今年第一次腾讯旗下APP读取用户信息引发广泛争议。今年1月，有网友在V2EX论坛发帖称，QQ软件会自动读取电脑Chrome浏览器历史记录，被火绒浏览器自定义规则所拦截。随后，腾讯回应称QQ安全团队发现PC端QQ存在读取浏览器历史用以判断用户登录安全风险的情况，
　　看不见的开启与读取
　　＂相对而言，苹果的权限管理体系已较为完善，但在权限允许范畴内，很难对一些应用异常或存在争议的信息采集进行核查和溯源。＂一计算机公司技术人员向记者表示，就本次微信读取系统相册事件而言，从外部较难核实其具体行为和真实目的，且理论上当时用户并未在后台关闭微信，在开放相册权限的情况下，微信的读取行为并未超出规定要求的范畴。
　　但该技术人员也指出，目前确实存在部分APP即便已在后台关闭的情况下，也会通过未经用户允许自启动的方式接收信息，采集数据，且在此过程中还可能唤起其他关联应用，增加设备运行负担。在环境混乱的安卓应用生态中，该问题更为普遍，也同样值得关注。
　　安卓生态的问题由来已久，目前在国内的手机应用系统推送管理于后台启动中，苹果和安卓存在显著的差别。苹果手机iOS系统采用了名为APNS(Apple Push Notification Service)的服务，当手机内应用需要向用户推送消息时，只需将消息发送到系统自带的推送服务上，而不必自行启动发送。换言之，只要在后台将应用关闭，大多数情况下不必担心应用会再次自动开启，并利用获取的权限在用户不知情的情况下采集信息，上述的自启动行为也较少。
　　但安卓手机的情况则复杂很多，其原因在于：一方面是安卓本身是开源平台，其环境较为混乱，厂商可以采用很多方式实现自启动；另一方面，由于谷歌未在中国大陆境内开展业务，与苹果APNS服务对应的GCM(google cloud message)服务也无法正常使用，这就使得用户难以在接收应用消息和防止APP擅自启动采集信息中取得平衡，结果往往是不得不放开部分管理权限换取使用的便捷性。
　　夏海龙表示，凡是未经用户明示同意，或通过各种隐蔽方式骗取用户同意而进行的读取用户信息行为都是违规的。目前工信部等部门依据《常见类型移动互联网应用程序必要个人信息范围规定》及相关监管文件已经开展常态化执法，但行政监管的范围相对有限，而且具有一定滞后性。如若想要根治这些违规现象，可以依靠良性的行业竞争，比如行业内部加强自律、自觉抵制，应用市场建立黑、白名单机制，手机厂商完善系统监控功能并提供更便捷的用户投诉渠道等。
　　事实上，中国的监管部门和应用开发厂商也曾为改善安卓应用生态做出过努力。2017年，中国信息通信研究院、华为、小米、百度 、阿里、腾讯等75家企业和单位在北京正式成立统一推送联盟，致力于探索统一国内应用推送体系的路径，结束安卓生态的混乱状态。根据其官方公众号介绍，目前该联盟由电信终端产业协会归口管理，接受工信部业务指导。
　　2018年4月，统一推送联盟正式推出《中国绿色APP公约》，并于2019年推出《中国绿色APP标准》(草案)，结合用户对个人隐私保护、权限管理、基础安全行为规范(交叉唤醒、后台自启动)方面的诉求对APP应用提出具体的要求，先后发布了内容安全平台＂推必安＂、信令级推送＂推必达＂，并于今年7月的中国互联网大会正式推出统一推送能力开放平台。
　　不过联盟业已成立四年，虽然国内安卓手机厂商大多都支持了其推出的标准，但该统一推送服务还未真正大规模应用，各个手机厂商仍然在使用自家推送服务。
　　上述技术人员表示，应用开发厂商往往出于各种复杂的利益诉求进行自启动，其中就包括较为敏感的个人信息读取，且统一推送需要在技术上需要所有应用对其进行适配，在缺乏迫切监管要求的情况下，其推进过程难免进展缓慢。
　　夏海龙表示，用户在当前手机应用环境中要维护自身合法权益，最重要的还是不下载、使用任何非正规渠道或非必要的app，谨慎决定开启某些app权限或功能，特别重要或敏感的图片、文档不存储在手机上。遇到信息泄露第一时间采取必要的应对措施，及时进行投诉