支付宝被发现会悄悄偷拍 (via Solidot)

[IgniteWhite]

国产移动应用的权限需求和后台活动再次引发了关注，这一次又是支付宝。支付宝是最流行的中国移动应用之一，安装量有数亿之多，它的体积庞大功能庞杂，用户根本无法了解它在后台究竟会干什么。 Twitter 用户 typcn 报告称，“支付宝安卓版每隔 X 分钟（服务器指定）会在后台开启摄像头拍照，录音 X 秒，然后上传到服务器上。”作者进一步指出，支付宝的偷拍是“开启相机预览，设置相机预览回调，然后从相机预览的画面里面拿一帧，这样不会调用 takePhoto ，在部分强制开启拍照声音的手机上，也不会出现声音，因为是在预览缓冲中拿的图像。”知乎上有相关讨论，尚未看到支付宝官方的回应。

[clino]

@binux 你说得没错 并不等于 但当然有可能
你不能否认的是很可疑

[clino]

@binux 另外我赞同这个回答: https://www.zhihu.com/question/40638556/answer/87747641
```
两种设计： 1. 每次启动时向用户”申请“摄像头权限。 2. 用户打开扫一扫的时候”申请“权限。有多少人会认为第一种做法对用户干扰更少？就算我每次打开支付宝后都要使用扫一扫，那提示的次数也是一样多的。而实际情况下比如我平时很少使用扫一扫，多数是付款码，那大多数情况下并不需要申请这个权限啊，然后每次打开都问我要权限，这个真的是为了“提升用户体验”？另一种情况，如果我选择始终禁用摄像头权限，实测结果支付宝启动后拿不到权限也就默默地继续下去了，也并没有弹出一个提示来告诉我啊，那么所谓”提前触发权限申请“的作用到底是什么？没拿到权限你也不嚷嚷一下啊，最后还是在扫一扫的时候才告诉我无法操作，那和”不提前触发权限申请“有区别吗？
```

[Magnus1k]

@binux 之前在知乎相关讨论中看到有人提出安卓无法在使用过程中做到“申请权限而不使用”如果看到了申请，就说明其实想使用。

[binux]

@typcn 那么说，你并没有抓到上传的直接证据？不管是不是它更新掉了。
@clino 那就是实际上，并没有直接证据说明支付宝的声明有问题咯。「每次打开都问我要权限」，默认没开权限限制的安卓手机，并不会有这个询问吧。
@Magnus1k 检测功能是否存在， JS 不经常这么干吗？

[zongwan]

Android API 设计的问题的话
只能说国产某些系统提示不到位 或者 官方漏洞

某些开发者是否能提供一个 sample APK 来检测系统是否存在这个漏洞?

[liujiantao]

<amp-youtube data-videoid="qaEUVSicZv4" layout="responsive" width="480" height="270"></amp-youtube>

[clino]

@binux '默认没开权限限制的安卓手机，并不会有这个询问吧'
那是不是说明更不需要搞什么提前获取了呢

[binux]

@clino 统一的功能检测，也是很常见的啊，比如统计下用户，有摄像头的比例。

[zongwan]

@binux
太牵强了
不过我也挺支付宝 无恶意这点

开个摄像头,可能检测 摄像头是否正常, 照相是否清晰, 对焦速度等.
虽然一般手机型号都会有介绍, 但详细的参数有些还是靠 API 才能获取到, 甚至有国产手机偷工减料

这些说的也太牵强了
关心隐私的人 都会设置应用访问摄像头时询问吧?
呼吁手机系统厂商对隐私安全进一步加强, 要求摄像头访问 除了相机外都设置为询问

[Andy1999]

@binux 666 洗地不用这么洗吧 为了统计一下有摄像头比例的所以每次都请求？
那么这个数据一定是 100%吧，现在哪款手机不带摄像头？

[xrui]

看微博评论的意思大概是说，因为支付宝提现不收费，钱放着还有利息，过年还抢到红包了，就是听不惯有人说支付宝的不好，我乐意被泄露隐私，隐私泄露可我的钱又没少，我也没什么隐私，银行的钱被盗了拿不回来支付宝的被偷了就可以理赔，你这么黑支付宝，该不会是腾讯 /苹果的托吧。
联想到以前看过的 360 的，要不是 360 你现在还用一个月十几块钱的杀毒软件呢，泄露隐私跟我有什么关系，我有什么隐私电脑里一堆**随便上传，你这么黑 360 ，该不会是腾讯的托吧，这可是免费的杀软啊，这么黑他你的良心去哪里了

[clino]

@binux 这种检测不是做一次就好了吗？ 难道支付宝会担心我摄像头坏了这么好心一天这么勤奋地帮我检测 哦 还帮我检测能不能录音 估计它想知道那么多设备有多少可以录音吧

[binux]

@zongwan 我不挺支付宝，它又没有证据完全排除掉真的没有侵犯隐私。
@clino 信息存内存里，进程被系统杀掉，重启的时候没有了呢？

[joydoudou]

看到这个帖子就是试了一下，果然一打开支付宝就请求摄像头的权限

[kmahyyg]

@clino xprivacy 频繁提示已阻止 alipay 调用 audio.recoding 等各类 api ，开机时频繁提示。

@binux 洗地请右转，前方有洗手间。/-blocked-/

[binux]

@kmahyyg 强行洗地，阶级斗争斗傻了吧

[yech1990]

果然是这样，设置成 promot 之后疯狂提示，尽管没打开支付宝。

[yech1990]

我只打开了 chrome

[imbahom]

意淫一下，此举打击了安卓，打击了支付宝，一定是苹果干的，意在推 apple pay
此贴火钳留名。

[agate]

@imbahom 嘿 你的观点有意思 我喜欢阴谋论