【动画】@App开发者们，你想了解的SDK安全风险都在这！******

　　日前，工业和信息化部信息通信管理局通报了今年第一批侵害用户权益行为App，有13款内嵌第三方SDK存在违规收集用户设备信息行为。

　　现如今，大量App借助SDK实现特定功能，提供便捷服务，满足用户多样需要，但APP使用SDK也可能带来相关安全问题，包括SDK自身安全漏洞、SDK恶意行为、SDK收集使用个人信息三类。

　　其中，SDK恶意行为是指嵌入APP中的SDK自身产生的恶意行为。这种恶意行为将破坏使用SDK的APP的安全性，对用户权益、数据等方面造成严重威胁。典型的恶意行为如流量劫持、资费消耗、隐私窃取等。

　　常见SDK恶意行为

　　流量劫持指SDK信息拉取、上报和展示目标App提供者设定的目标不同，恶意劫持App流量，可能对App造成损害；隐私窃取指SDK在用户不知情或误导用户的情况下，隐蔽窃取用户的通讯录、短信息等个人敏感信息，隐蔽进行拍照、录音等敏感行为，并发送给恶意开发者；广告刷量指SDK在最终用户不知情的情况下，在后台模拟人工点击广告链接进行牟利。

　　在SDK收集使用个人信息方面，安天移动安全发现，应用接入第三方SDK引发的违规收集个人信息问题较为普遍。其中，包括用户同意隐私政策前就开始收集个人信息、隐私政策中未明确提及所接入的SDK和数据收集情况、SDK收集的个人信息范围与隐私政策不相符等。

　　除了上述 SDK恶意行为外，当前 App 接入的 SDK 中还存在以上风险行为类型

　　在对某统计类SDK检测分析时研究发现，其主要提供用户行为统计功能，并在此过程中实现用户终端数据的收集和上传。

　　由于该SDK 在不同App中存在模块代码和版本的不同，因此对其在不同月活范围 App 中的数据收集行为进行抽样分析，从结果上来看，该SDK 普遍存在违规收集和超范围收集个人信息的问题，并且在月活较低的 App 接入的版本中，还存在通过云控参数控制 SDK 在终端侧收集数据范围的情况，并且涉及大量用户隐私路径数据的访问。

　　以某知名地图 App为例，在相关检测中发现，在隐私政策中明确提到了应用内第三方 SDK所收集的个人信息类型为设备信息和 Wi-Fi 地址。而实际上传的数据中除了包含 WiFi 的BSSID名称信息外，还频繁上传用户安装应用的列表信息。

　　国家标准计划《信息安全技术 移动互联网应用程序（App）收集个人信息基本要求》中明确定义了不同业务场景下，应用收集个人信息范围的最小化原则。而在应用接入的 SDK 中，收集个人信息范围、频度的必要性和最小化原则同样适用于SDK的功能业务场景。

　　虽然部分应用接入 SDK 时明示了 SDK 所收集的个人信息范围，但其合理性和必要性存疑，例如收集个人信息范围为软件安装列表，但实际除了收集安装应用包名信息外，还收集了安装应用运行状态信息等，这就涉及超范围收集个人信息。

　　例如，某统计类 SDK除了应用开发者本身主动调用相关事件接口外，SDK自身还注册监听了多种广播消息，在监听到相关消息后则会触发数据的收集和上传行为。例如对解锁屏、电源连接断开事件进行监听、对用户终端安装、卸载应用行为进行监听，除此以外，还会监听应用前台、后台的切换行为从而触发数据的收集和上传。

　　另外，当前 App 接入的 SDK 中还存在云端控制SDK行为，热更新技术控制 SDK 行为，后台拉活、自动下载安装、误触下载等风险行为。

　　（监制：张宁 策划：李政葳 制作：黎梦竹）

有效推进社会慈善资源融入基层社会治理******

　　【深入学习宣传贯彻党的二十大精神】

　　作者：胡彬彬（贵州民族大学社会学院副教授）

　　慈善事业是社会文明进步的重要标志。习近平总书记在党的二十大报告中强调，要“引导、支持有意愿有能力的企业、社会组织和个人积极参与公益慈善事业”“发展壮大群防群治力量”“建设人人有责、人人尽责、人人享有的社会治理共同体”。早在2002年8月22日，时任福建省省长的习近平同志在福建省慈善总会第一次代表大会上就指出，“协助政府发展慈善公益事业，更好地推进社会保障化，维护社会的稳定”。2006年12月12日，时任浙江省委书记的习近平同志在浙江慈善大会上强调：“在构建社会主义和谐社会中，必须把发展慈善事业作为一件大事来抓，真正确立慈善事业在经济社会发展中的地位。”党的十八大以来，以习近平同志为核心的党中央高度重视慈善事业在加强基层治理体系和治理能力现代化建设中的作用。2021年4月，中共中央、国务院印发《关于加强基层治理体系和治理能力现代化建设的意见》强调，要“完善社会力量参与基层治理激励政策，创新社区与社会组织、社会工作者、社区志愿者、社会慈善资源的联动机制”。慈善事业是推进基层社会治理的重要力量，要加强基层治理体系和治理能力现代化建设，必须以习近平总书记关于慈善事业的重要论述为指导，有效推进社会慈善资源融入基层社会治理。

　　社会慈善资源是慈善事业持续发展的基石，也是基层社会治理有效推进的活力源泉。所谓社会慈善资源，是指社会公众在自愿基础上以募集、捐赠、资助等方式进行分配的资源。它既包括善款、善物等有形资源，也包括服务、爱心等无形资源。社会慈善资源是实现基层社会治理目标的重要手段。作为一种社会公益资源，社会慈善资源本身是社会协同的重要力量，相对于政府制度化资源的供给方式而言，社会慈善资源具有更高的自主性、灵活性与便捷性。这就意味着，社会慈善资源可以弥补城乡社区在资源供给上的不足。要有效推进社会慈善资源融入基层社会治理，必须做到以下“三个注重”：

　　一是要注重创新融入理念。理念是行动的航标，推进社会慈善资源融入基层社会治理，必须创新融入理念。首先，树立主动融入理念。慈善事业是一项全民的事业，必须充分激发全民的爱心、调动全社会的热情，使全社会共同关心、支持和参与慈善事业，所有个人和组织都不应该是慈善事业的“局外人”或“旁观者”，而应当以主人翁的姿态主动激活社会慈善资源，并使之服务于基层社会治理。其次，树立全域融入理念。社会慈善资源富藏于社会生活的各个领域。其中，既有公共生活领域，又有私人生活领域。要推动社会慈善资源融入基层社会治理，就必须树立全域融入理念，探索建立“慈善+党建”“慈善+金融”“慈善+教育”“慈善+救助”等实践模式，形成全域慈善生态链，并使之助力于基层社会治理。最后，树立协同融入理念。推动社会慈善资源融入基层社会治理是一项社会系统工程，它涉及基层党组织、基层政权组织、经济组织、自治组织、群团组织、社会组织等多元行动主体。基层党组织要充分发挥战斗堡垒作用，全面提高凝聚力和战斗力，加强指导和管理，使各类基层组织按需设置、按职履责、有人办事、有章理事，既种好自留地、管好责任田，又唱好群英会、打好合力牌。

　　二是要注重健全融入机制。机制是行动的保障，推进社会慈善资源融入基层社会治理，必须健全融入机制。一方面要健全党建引领机制。党建引领是推进社会慈善资源融入基层社会治理的政治保证。城乡基层党组织必须把推进社会慈善资源融入基层社会治理作为党建工作的一项重要任务来抓。积极创新激活社会慈善资源的组织化形式，探索激活社会慈善资源的方式方法，广泛凝聚社会贤达人士、民营企业、社会组织、社会工作者、社区志愿者等多方面力量，形成推进社会慈善资源融入基层社会治理的强大合力。同时，充分发挥党组织的战斗堡垒作用和党员先锋模范作用，强化组织引领，强化行为示范，强化慈善监督，为激活社会慈善资源保驾护航。另一方面要健全慈善激励机制。慈善是一种自愿性的公益行为。从组织行为学来看，慈善行为得以强化的社会心理机制在于激励。要充分发挥基层政府的主责作用，积极创新慈善行为的激励方式，让慈善行为主体“慈有所乐”。推进慈善公益组织与媒体平台的合作，充分发挥主流媒体的舆论“风向标”作用，大力开展慈善标杆企业、慈善知名人士的舆论宣传，真正弘扬社会正能量。同时，健全激励制度，探索慈善积分奖励、慈善时间银行等多样化激励机制，让善行得以“储存”，让善举得以“升值”。只有这样，才能使慈善行为得到最大的正向激励。

　　三是要注重拓展融入路径。路径是行动的航线，推进社会慈善资源融入基层社会治理，必须拓展融入路径。一是以社区为主体创建融入场域。作为基层社会治理的基本单元，社区既是一个具有共同价值取向的情感共同体，又是推进社会慈善资源融入基层社会治理的行动主体。城乡社区建设应当以增强居民的“社区共同体”意识为目标，积极开展“社区慈善日”等活动，努力打造“慈善标杆社区”，从而提升社区的凝聚力，为社会慈善资源融入基层社会治理营造良好的环境氛围。二是以社会力量为依托拓宽融入渠道。社会组织、社会工作者、社区志愿者是基层社会治理的重要社会力量。整合资源是社会组织的一个基本职能。社会组织要注重提升资源整合能力，利用自身的组织优势，加强资源整合平台建设，最大限度地整合社会慈善资源，并使之服务于基层社会治理。嫁接资源是社会工作者的一种基本能力。社会工作者要真正践行“助人自助”的价值理念，注重提升自身的资源嫁接能力，努力成为激活社会慈善资源的专业能手。链接资源是社区志愿者的一个行动目标。社区志愿者要真正践行“奉献、友爱、互助、进步”的志愿服务精神，注重提升自身的资源链接能力，努力凝聚盘活社会慈善资源的强大正能量。

　　（本文系国家社科基金青年项目“民族互嵌式社区治理共同体的理论建构与实践路径研究”〔20CSH004〕的阶段性成果）

　　《光明日报》（ 2022年12月29日 06版）