日前，上海市消保委发布了针对39款网购平台、旅游出行、生活服务等手机App涉及个人信息权限的评测结果，其中25款存在问题，9款App仍在收集敏感权限。

从本次主要评测4个方面看，包括App所使用的目标API级别、App敏感权限的数量、敏感权限的授权方式（即是否存在一揽子授权），及查看是否存在无实际功能对应用的权限申请。

评测结果发现，15款网购平台类App中10款存在问题，13款旅游平台类App中7款有问题，11款生活平台类App中8款有问题。截至3月23日，仍有9款App尚在收集敏感个人权限，包括聚美（v7.951）、贝贝（v8.2.01）、穷游（v9.2.0）、TripAdvisor猫途鹰（v29.4.1）、神州租车（v6.4.4）、一嗨租车（v6.2.1）、饿了么（v8.13.1）、百度糯米（v8.4.7）、格瓦拉生活（v9.5.0）等。

从评测的情况看，这些App的主要问题在于，申请了发送短信、录音、拨打电话、读取联系人、监控外拨电话、重新设置外拨电话的路径、读取通话记录等敏感权限，却未在应用中进行使用。例如，“聚美”申请了12个权限，但专家认为通讯录和日历权限并不必要。“贝贝”申请的8个权限中，麦克风权限在实际运用中并未发现。而“穷游”申请的电话、通讯录权限，“猫途鹰”申请的电话权限，“神州租车”申请的电话、监控外拨电话和重新设置外拨电话的路径、麦克风等权限，也未在对应功能中发现。

对于评测发现的问题，部分App的运营方作出了回应。“一嗨租车”表示，“短信权限是开发时的失误造成的，但并未使用，也没有运用的场景，在新版本中已去除”。“饿了么”则申请了11个权限，包括拨打电话、日历等。在测试新版本时，专家发现旧版中的拨打电话和日历权限已删除，但又新增了“读取通话记录”权限。对此，“饿了么”回应称，该权限“在不知情的情况下上线，3月22日已下线”。“格瓦拉”回应称，在3月26日发布的新版本中，已取消了读取短信等3个权限。

调查还发现，52.5%的消费者用手机日历记录重要行程。其中，27.5%会记录日常生活行程，18.5%会记录生活及工作等。上海市消保委特别对“日历”权限进行了提示，日历权限与个人隐私的密切度，比通讯录等权限还要高，将日历权限授权给App，带来的风险远大于便利。上海市消保委建议，经常用日历来记录敏感事项的消费者，在授权时要谨慎。而App开发者如无十分必要，建议尽可能不开发日历权限。

上海市消保委秘书长陶爱莲表示，消保委近年来持续关注App对于个人信息的获取情况，此次发布的调查已是第三期。但从发布情况来看，个人敏感权限的收集仍是较突出的问题，而企业并不会主动反思或下线。目前，消费者越来越重视保护个人隐私，政府和企业应创造放心安全的消费环境，让消费者更“敢”消费。

 “过度索权”成“军备竞赛”手机APP咋这么“贪心”

不给权限就不让用APP，竞争对手索取了权限自己也“不甘人后”。已经成为消费之痛的“过度索权”背后，是企业漠视个人信息保护心态在全行业蔓延带来的“军备竞赛”。

 三令五申手机APP“过多索权”问题仍存在

读取联系人和通讯录，偷偷监控外拨电话，翻看手机通话记录，甚至还开启了录音功能，你的手机也许并不“老实”，甚至即便你安装的手机APP都来自行业领先的“大公司出品”，这些APP的安全性并不能令人完全放心。

上海市消保委近期对网购平台、旅游出行、生活服务等39款市场占有率领先的手机APP涉及个人信息权限评测显示，截至3月23日，有9款手机APP存在索取的权限与功能无法对应的问题，涉及聚美、穷游、猫途鹰、神州租车、百度糯米等。

比如，穷游APP向用户索取“读取联系人”的权限，但并没有提供相应的功能；神州租车APP向用户索取“录音”“监控外拨电话，重新设置外拨电话的路径”等权限，但也并未能提供相应的功能。

此次发布的测评结果，已经是上海市消保委第三次针对手机APP进行的测评，此前已经针对地图类、浏览器类、输入法类以及综合视频类等进行了两轮测评，发现存在数十项无实际功能对照的权限申请，包括读取通讯录、电话权限、短信权限、定位权限等。

上海市消保委秘书长陶爱莲说，在三令五申下，APP过度索权问题依然屡禁不止，即使是来自行业领先大公司的APP问题同样突出，已经成为消费者的新痛点。

 “你要我也要”——“过度索权”四大“怪”

手机APP“过度索权”为何难治？调查发现，手机APP过度索权存在四大值得警惕的新趋势，背后是企业利益驱动、诚信缺乏、对个人信息安全保护漠视心态在全行业蔓延带来的“军备竞赛”。

——“就是不升级”。在多轮测评中发现，手机APP使用的目标API级别过低的问题比较明显。在本轮测评中，百度糯米APP的用户在安装时，由于目标API级别过低，即便并没有相应的使用场景，也“一揽子授权”了包括“读取联系人”“录音”“读取信息”等敏感权限，否则就无法正常使用该APP。

——“假装不知道”。一些企业称，手机APP过度索权是程序员的“锅”。一嗨租车相关负责人表示，企业程序员“开发失误”，“不小心上线了没有使用场景的敏感权限，并没有实际使用该权限”。而猫途鹰则表示企业存在失察的情况，没有主动去检查是否存在索取已经不存在应用场景的权限的问题。

北京捷兴信源信息技术有限公司技术支撑部总经理盛大江指出，当目标API级别低于23时，安卓对于权限会采用一揽子授权的模式，存在可规避系统安全机制的漏洞，安全风险比较大。“是否提升API级别、检查索权是否与使用场景对应，是企业的自主选择。尽管工信部在内的监管部门都在提倡提升目标API级别到28，让用户的信息更加安全，但一些企业可能并没有太多的动力主动去提升。”

——“千年用一次，也得索个权。”经梳理和采访专家发现，以读取短信权限为例，企业认为索取这一权限可以方便消费者读取短信验证码，但除了高频发送验证码的金融类等少量APP外，大量的APP需要读取验证码的情形“百里挑一”，却因此获得了如此敏感的权限，消费者的“隐私让渡回报”明显不足。还有一些手机APP在使用过程中不停“骚扰”消费者获取录音权限，提供的功能却是少有人使用的“语音播报”。

——“用不上，创造条件也要上。”不少手机APP存在索取“非必要权限”的问题。以日历权限为例，测评显示，有10多家手机APP尤其是网购类平台存在获取用户日历的问题。

相关企业在回应消保委时表示，日历权限的索取可以方便消费者了解大促信息，但专家指出，相应的功能完全可以通过后台推送的方式实现，并不需要额外获取和调用日历权限，涉嫌滥用使用场景。“万一明天用上了呢？竞争对手有了我也要有。一些企业觉得，就算现在用不上，无法即时对消费者的数据进行商业化的运用，也要先创造条件占上，‘以备后患’，甚至对标竞争对手‘他要我也要’。”

 自我加压索权“明明白白”

陶爱莲指出，希望开发者增强诚信意识，主动作为，更好保护消费者个人信息安全，“上海市消保委将对手机APP过度索权问题密切关注、持续关注。”

上海市消保委副秘书长唐健盛说，互联网企业应确保相关应用索取的权限与功能必须相匹配，并妥善使用这些权限，建议行业内的大型企业能尽早推出团体标准，净化市场。同时，消费者也应加强对APP索权的重视程度，谨慎授权。

一些互联网公司已经在“自我加压”，主动把索取的权限和消费者“说个明白”。比如，最新更新的手机淘宝APP，不仅将向用户索取的权限以及其使用场景一一说明，还明明白白地告诉消费者如果不愿意索取该项权限、可能影响使用的功能，方便消费者作出选择。

近期谷歌发布的Android Q beta版中，在原有的拒绝和永久授权两种权限选择之外，还增加了仅在使用期间（运行时）的授权选项。这一版本未来正式上线后，基于这一最新版本的手机APP将能更好保护消费者的信息安全。