发现极光推送开始滥用媒体储存以存储用户 ID 用于跨应用追踪

[sky96111]

今天更新了 Bilibili，Onedrive 突然询问我是否要自动备份 jpush 的文件夹。我当时就困惑起来了，因为我用了存储空间隔离，只给了几个应用开放了写入 Pictures 文件夹的权限。

看 jpush 里面是什么东西，好家伙，明明白白写在文件名上…jpush_uid.png

是 png，但不能用相册打开，因为它是一个伪装成图片的文本文档。用文档打开后是一串奇怪的字符串，似乎不是 base64 编码的，搞不开。

经逐个关最近更新的应用存储权限排查发现，这是 Bilibili 产生的，通过 LibCheck 比对，发现它更新了极光推送的原生库，版本为 libjcore273.so ，推测是这个版本加入的。

几乎可以肯定的是，这个是极光在高版本安卓系统收紧存储权限的情况下，为了最跨应用最追踪用户 UID 的手段。

建议彻底关闭 Bilibili 的存储权限。

[dingwen07]

看来是因为极光推送支持国内那些手机厂商的推送，所以只有在标准 Android 环境下才会出现

[jim9606]

老早就知道许多 SDK 靠在 /sdcard 拉屎来跟踪用户了。对于不用发图的应用，早就把存储权限关了。

但是遇到要发图的还是没办法，极少数应用可以靠系统相册分享 content provider 避开权限需求，大部分都不得不给，特烦。

B 站还算好的，好歹 targetsdk=30，都算是被第三方 SDK 坑害的典型案例了。TX 那两个还是 29 （ Play 版本）。

[Lynvvood]

好家伙

[sky96111]

@dingwen07 安卓 11，Lineage OS，b 站版本 6.24.0，可能看版本，Play 版应该不会接这些奇怪的 SDK

[mxalbert1996]

所以用这个就好了啊
https://m.apkpure.com/bilibili-%E9%AB%98%E7%95%AB%E8%B3%AA%E7%84%A1%E5%BB%A3%E5%91%8A%E8%BF%BD%E6%98%9F%E5%8B%95%E6%BC%AB%E9%83%BD%E5%9C%A8%E9%80%99/com.bilibili.app.in

[no1xsyzy]

建议直接删除应用，用浏览器看。

[dingwen07]

@sky96111 #24 Play 没有上架国内版，港台地区可以下“国际”版，比国内版少了一些功能

[paxol]

国内应用统一不更新
另外这个查看 SDK 的 app 是啥

[sky96111]

@paxol LibCheck

[imldy]

play 版无广告，功能简洁，一般够用。国内这帮应用……无力吐槽。

[Lightbright]

哇，这个 LibCheck 感觉很好用的样子

[q197]

@ronman b 站下载默认就在无需权限的地方（自古以来就是），但是旧版客户端却要申请存储权限才能下载（从系统限制上来说这是多此一举），新版早就没有这个问题了

[q197]

@mxalbert1996 最近的 3.x 版本相对于之前的 2.x 版本，体积一下翻了一倍多，功能不知道有什么区别？

[mxalbert1996]

@q197 3.0 用了新的 App Bundle 格式，网页上显示的是包含所有配置的资源和和所有 CPU 架构的原生库的大小，实际安装以后差不多也就一半。

[q197]

@mxalbert1996 厉害了，不过 b 站 app play 商店不好下到，如果用 apkpure 这样的第三方软件安装不知道能不能享受这个效果

[mxalbert1996]

@q197 能啊，所以你下的是不能直接安装的 xapk，需要专门的应用来安装