禁止 App 借助营运商获取手机号码以实现一键登录

[maleclub]

看贴 https://www.v2ex.com/t/939831 有感，不想让手机上的几个 app （美团，支付宝，还有银行类）有可能借此获得我的手机号码，特意测试了一下。方法也比较简单。

• 已 root 的手机通过文件管理工具（我用 x-plore ）修改 /system/etc/hosts 文件，插入以下内容，重启手机即可。

# 中国移动
0.0.0.0 config.cmpassport.com
0.0.0.0 www.cmpassport.com
0.0.0.0 wap.cmpassport.com
0.0.0.0 onekey1.cmpassport.com
0.0.0.0 log1.cmpassport.com
0.0.0.0 smsks1.cmpassport.com
0.0.0.0 verify.cmpassport.com

# 中国联通
0.0.0.0 opencloud.wostore.cn
0.0.0.0 auth.wosms.cn
0.0.0.0 id.mail.wo.cn
0.0.0.0 mdn.open.wo.cn
0.0.0.0 hmrz.wo.cn
0.0.0.0 nishub1.10010.com
0.0.0.0 enrichgw.10010.com

# 中国电信
0.0.0.0 id6.me
0.0.0.0 open.e.189.cn

• 未 root 手机，借助 Virtual Hosts 这个 app 也可以。

[GeekGao]

@Jirajine 你实践后再说吧。 未确认前，数据流未必是完整的。运营商搞了很多年这个业务了，有明显的数据安全 bug ，那早就改了。

[Jirajine]

@GeekGao #61 这个玩意说白了就是你的应用去请求运营商的接口，运营商接口返回当前使用流量的手机号。即使这个过程被运营商的 sdk 库封装了，技术上来说那也是你的应用进程拿到了，存在在你的应用进程之内。不说应用内展示的控件应用本身就可以完全控制，实在不行读屏 OCR 、/proc/self/mem 怎么都能拿到。

[GeekGao]

@Jirajine 预取号是有掩码的，中间几位都是星号。你 OCR 也没啥意义哦。 用户确认取号后才会返回完整的号码，这个时候 sdk 已经通知你号码了，这时候你自己 hack 自己的进程没意义。