APP合规政策解读爽文
大家好，我叫 Kepa，目前主要负责工作之一是国内游戏发行安卓政策合规检测，最近在整理app政策合规相关要求，秉承着我们37手游“分享成就未来”的理念，我们决定将我们整理的资料分享给行业内，希望能帮助到大家。
一、 文章写作背景
（1）工信部制定的26号文件
工信部制定的26号文件——工业和信息化部关于进一步提升互联网应用服务能力的通知的下达，监管部门和应用市场对于app、游戏、sdk等软件的隐私合规要求进一步提升。
（2）应用商店合规审核
我们可以明显感知到近几个月以来，在应用商店提审包体的时候总会遇到越来越多的合规问题，因为监管部门对App个人信息保护的重视度越来越高，在原有规则基础上不断完善检测标准，应用商店作为App上架的第一道审核防线需对上架App进行严格审核。
二、 开发前-合规政策解读
（1）26号文件解读
26号文链接：工业和信息化部关于进一步提升移动互联网应用服务能力的通知_国务院部门文件_中国政府网
其中，可以将文件区分为两个方面，一个是app、sdk等开发要求，另一部分是分发平台等运营要求，因为这篇文章主要聚焦在我们开发者相关信息，所以主要选取以几个开发相关的要求进行总结
a.规范安全卸载行为
确保知情同意安装
规范网页推荐下载行为
实现便捷卸载
b.优化服务体验
窗口关闭用户可选
服务事项提前告知
启动运行场景合理
服务续期及时提醒
c.加强个人信息保护
坚持合法正当必要原则
明示个人信息处理原则
合理申请使用权限
d.落实app开发运营者主体责任
完善内部管理机制
增强技术保障能力
加强软件开发工具（SDK）使用管理
e.规范sdk应用服务
建立信息公式机制
优化功能配置
加强服务协同
（2）个人信息保护标准体系介绍
个人信息标准出处： 标准查询
a. 个人信息分类
b. app收集使用个人信息最小必要评估规范
1. 总则
2. 位置信息
3. 图片信息
4. 终端通讯录
5. 设备信息
6. 软件信息
7. 人脸信息
8. 录像信息
9. 短信信息
10. 录音信息
11. 通话信息
12. 好友列表
13. 传感器信息
14. 应用日志列表
15. 房产信息
16. 交易记录
17. 身份信息
18. 剪切板信息
c. SDK用户权益保护要求
三、 开发中-合规事项整理
（1）APP检测规范事项整理
政府文件出处：
工业和信息化部关于开展纵深推进APP侵害用户权益专项整治行动的通知_国务院部门文件_中国政府网
工业和信息化部关于进一步提升移动互联网应用服务能力的通知_国务院部门文件_中国政府网
a.违规处理用户个人信息
● 违规收集个人信息
● 超范围收集个人信息
● 违规使用个人信息
● 强制用户使用定向推送功能
b.设置障碍、频繁骚扰用户
● 强制用户使用定向推送功能
● APP强制、频繁、过度索取权限
● APP频繁自启动和关联启动
c.欺骗误导用户
● 是否欺骗误导强迫用户
● 是否欺骗误导用户提供个人信息
d.应用分发平台责任落实不到位
● 应用分发平台上的APP信息明示不到位
（2）在游戏发行行业，面对自身sdk与第三方sdk常见合规问题整改建议
a.违规收集个人信息常见问题
用户尚未点击同意app隐私合规弹窗，第三方sdk就初始化，违规收集用户个人信息
APP的隐私权政策末透出第三方SDK类型以及第三方SDK收集个人信息的目的、类型和方式
违规收集个人信息整改建议：
● 升级SDK，确保SDK最新版本在技术上能够支持APP开发者做SDK延时初始化配置；
● 增加APP合规校验功能，即通过开发接口的方式增加对APP隐私权弹窗埋点进行合规校验，包括校验APP是舌有隐私权政策弹窗、APP用户是否授权、SDK的初始化配置顺序是否正确等；
● 在产品层面，做好SDK个人信息采集情况的告知与公示；通过服务协议与隐私权政策明确SDK和APP的权利义务分配机制，理清权责边界；加强开发者合规引导，落实合规要求。
b.超范围收集个人信息常见问题
非服务所必需或无合理应用场景，特别是在静默状态下或在后台运行时，超范围收集个人信息的行为。
超范围收集个人信息整改建议：
● SDK在收集用户个人信息前，向用户明示收集个人信息的目的、方式和范围；
● SDK在收集用户个人信息前，必须征得用户同意；
c.违规使用个人信息常见问题
末向用户告知且末经用户同意，私自使用个人信息，将用户个人信息用于其提供服务之外的目的，特别是私自向其他应用或服务器发送、共享用户个人信息的行为。
违规使用个人信息整改建议：
● 向用户明示分享的第三方身份、主体名称 目的、申请权限、收集的个人信息类型及隐私政策；
● 向第三方分享个人信息前需征得用户同意；
● 存在向境外传输数据的情况的，应遵循国家相关规定和相关标准的要求。
d.自启动和关联启动常见问题
非服务所必需或无合理应用场景的情况下，SDK存在自启动或关联启动APP的 问题。
自启动和关联启动整改建议：
● SDK应确保在合理的应用场景且在用户同意的前提下，进行自启动或关联启动行为；
● APP开发者、内嵌第三方SDK应提供相应功能，由用户自主选择是否开启关联启动；
e.欺骗误导强迫行为常见问题
信息窗口关不掉；欺骗误导用户下载APP；欺骗误导用户点击开屏广告。
欺骗误导强迫行为整改建议：
● SDK在弹出信息窗口时，要立刻展示有效的关闭按钮；
● SDK在分发下载APP时要标识正确的下载按钮且指定正确的下载区域，只有在用户确定触发下载功能时在产生下载行为。
● SDK在展示开屏广告时，要标识指定的跳转方式和跳转区域，不要使用虛假按钮、全屏可点击等方式触发跳转。
四、 开发后-合规自测
我们可以选择frida的hook框架帮助我们做软件合规自测
（1）frida安装：
安装frida的教程在我们的上一篇文章中已经讲述，我这边就不再赘述了，直接传送门：
（2）frida自测
Frida-trace官网：frida-trace | Frida • A world-class dynamic instrumentation toolkit
Frida-trace 是一个基于 Frida 框架的命令行工具，它可以用于追踪和分析应用程序的函数调用和参数，以及在运行时修改应用程序的行为。我们可以通过frida-trace方法检测我们的用户信息获取情况。
实例：假设检测包名是 com.frida.test 应用是否调用获取应用列表地址为例，Mac地址的其中一个获取方法是 android.app.ActivityManager. getRunningAppProcesses，直接运行命令：
frida-trace -U -f com.frida.test -j 'android.app.ActivityManager*!*getRunningAppProcesses'
你会发现手机上启动了 com.frida.test 应用，如果此时app触发了获取应用列表的操作，在终端能看到相关的操作已经显示出来:
通过Frida-trace监测到的各个获取信息的方法，我们还可以继续拓展将其组合成隐私前合规检测、频繁获取检测等等的动态合规检测。
五、 结尾
由于文章的篇幅有限，我们没法对每一项合规事项都进行展开讨论，如果大家对我们的政策文章有兴趣的话可以给我们多多点赞和转发支持一下，也可以加官方微信 “MobileTeam37”我们深入讨论交流一下app合规话题
