【动画】@App开发者们，你想了解的SDK安全风险都在这！******

　　日前，工业和信息化部信息通信管理局通报了今年第一批侵害用户权益行为App，有13款内嵌第三方SDK存在违规收集用户设备信息行为。

　　现如今，大量App借助SDK实现特定功能，提供便捷服务，满足用户多样需要，但APP使用SDK也可能带来相关安全问题，包括SDK自身安全漏洞、SDK恶意行为、SDK收集使用个人信息三类。

　　其中，SDK恶意行为是指嵌入APP中的SDK自身产生的恶意行为。这种恶意行为将破坏使用SDK的APP的安全性，对用户权益、数据等方面造成严重威胁。典型的恶意行为如流量劫持、资费消耗、隐私窃取等。

　　常见SDK恶意行为

　　流量劫持指SDK信息拉取、上报和展示目标App提供者设定的目标不同，恶意劫持App流量，可能对App造成损害；隐私窃取指SDK在用户不知情或误导用户的情况下，隐蔽窃取用户的通讯录、短信息等个人敏感信息，隐蔽进行拍照、录音等敏感行为，并发送给恶意开发者；广告刷量指SDK在最终用户不知情的情况下，在后台模拟人工点击广告链接进行牟利。

　　在SDK收集使用个人信息方面，安天移动安全发现，应用接入第三方SDK引发的违规收集个人信息问题较为普遍。其中，包括用户同意隐私政策前就开始收集个人信息、隐私政策中未明确提及所接入的SDK和数据收集情况、SDK收集的个人信息范围与隐私政策不相符等。

　　除了上述 SDK恶意行为外，当前 App 接入的 SDK 中还存在以上风险行为类型

　　在对某统计类SDK检测分析时研究发现，其主要提供用户行为统计功能，并在此过程中实现用户终端数据的收集和上传。

　　由于该SDK 在不同App中存在模块代码和版本的不同，因此对其在不同月活范围 App 中的数据收集行为进行抽样分析，从结果上来看，该SDK 普遍存在违规收集和超范围收集个人信息的问题，并且在月活较低的 App 接入的版本中，还存在通过云控参数控制 SDK 在终端侧收集数据范围的情况，并且涉及大量用户隐私路径数据的访问。

　　以某知名地图 App为例，在相关检测中发现，在隐私政策中明确提到了应用内第三方 SDK所收集的个人信息类型为设备信息和 Wi-Fi 地址。而实际上传的数据中除了包含 WiFi 的BSSID名称信息外，还频繁上传用户安装应用的列表信息。

　　国家标准计划《信息安全技术 移动互联网应用程序（App）收集个人信息基本要求》中明确定义了不同业务场景下，应用收集个人信息范围的最小化原则。而在应用接入的 SDK 中，收集个人信息范围、频度的必要性和最小化原则同样适用于SDK的功能业务场景。

　　虽然部分应用接入 SDK 时明示了 SDK 所收集的个人信息范围，但其合理性和必要性存疑，例如收集个人信息范围为软件安装列表，但实际除了收集安装应用包名信息外，还收集了安装应用运行状态信息等，这就涉及超范围收集个人信息。

　　例如，某统计类 SDK除了应用开发者本身主动调用相关事件接口外，SDK自身还注册监听了多种广播消息，在监听到相关消息后则会触发数据的收集和上传行为。例如对解锁屏、电源连接断开事件进行监听、对用户终端安装、卸载应用行为进行监听，除此以外，还会监听应用前台、后台的切换行为从而触发数据的收集和上传。

　　另外，当前 App 接入的 SDK 中还存在云端控制SDK行为，热更新技术控制 SDK 行为，后台拉活、自动下载安装、误触下载等风险行为。

　　（监制：张宁 策划：李政葳 制作：黎梦竹）

“绳彩飞扬”助力校园特色体育******

　　山东省济南市历下区历山学校：

　　“绳彩飞扬”助力校园特色体育

　　近日，在山东省济南市历下区历山学校操场上，学生们随着大绳和小绳的翻飞，机智地跳跃、跑动，笑意写在脸上、快乐洋溢心中。这是该校学生正在备战全国跳绳联赛训练的场景，而全校开展跳绳活动正在成为学校的一道风景，“人人会跳绳、天天有比赛、班班有队伍”局面已经形成。

　　从2018年9月开始，历山学校着力研发实施“绳彩飞扬”特色课程体系，在“以绳健体、以绳会友、以绳促德、以绳增智”的理念引领下，学校以学生体质健康为中心，以体育课堂为载体，以阳光大课间为补充，以“绳彩飞扬”为主题，充分发挥花样跳绳特色项目的育人作用，将校园特色体育文化建设与学校整体文化育人建设紧密结合起来，为学生健康打下了坚实基础。

　　“绳彩飞扬”课程推动学校特色体育文化发展

　　近年来，历山学校结合本校实际情况，遵循学生年龄阶段的发展规律，加强对跳绳运动传统文化的传承，引导学生逐步了解跳绳文化，不断丰富跳绳课程内容，同时，将跳绳与音乐等学科相结合，借助音乐的旋律，提升学生对韵律的欣赏和对节奏的把握；立足实践探索编制花样跳绳绳操“绳彩飞扬”课程教材，在学校大课间推广，激发学生跳绳的兴趣，为校园特色文化打好基础。

　　除了提升学生们的技能，学校还注重跳绳知识和礼节等相关体育文化的教育，将花样跳绳技能教学渗透到体育教育中，由“戏”过渡到“育”的阶段，其内容和形式不断发展变化。同时，学校注重跳绳组合形式等方面的探索与研究，使花样跳绳运动朝着多样性、娱乐性、观赏性的方向发展。经过大量的“练”和“赛”，不仅学生之间的默契配合度得到提升，团队合作意识与能力也得到增强。

　　学校还充分发挥第二课堂的作用，利用花样跳绳社团弥补学生“练”“赛”的不足。为提高学生兴趣，学校专门成立了“跳绳社团教师指导小组”，以帮助各学习小组的教师学好每一个动作。同时，学校还加大对课程理论的学习研究，参与编写《山东师大基础教育集团跳绳教程》《花样跳绳》校本教程教材，申报课题“跳绳运动对提升小学生体质健康的实践研究”等。

　　多种方式推动“以赛促练，以练促学”

　　学校充分考虑跳绳场地较小的特点，利用“天天跳绳”软件，组织全校线上跳绳比赛，组织学生参加山东省第一届线上中小学生跳绳比赛，为学校线上体育教学发展提供了更多借鉴和经验，让“以赛促练”成为学校体育发展的主要路径。

　　结合学校体育教学实际，学校着力推进“以赛促练，以练促学”活动。第一学期低年级以“一分钟并脚跳”为主，高年级以“8字绕”为主；第二学期学校组织体育节、跳绳吉尼斯活动。同时，借助山东师大基础教育集团办学优势，2021年，学校承办了“童心向党，绳彩飞扬”山东师大基础教育集团跳绳比赛，让整个校园因花样跳绳焕发出新的活力与生机。

　　“绳彩飞扬”助力学生全面成长

　　通过特色体育文化引领，学校的体育工作实现了质的提升。

　　2021年学生体质健康综合评价达标率为96.34%，其中一分钟跳绳达标率高达99.61%。从2018年开始至今，历山学校花样跳绳队在全国跳绳联赛、全省全民健身运动会、全省中小学生线上跳绳比赛、济南市中小学生跳绳比赛上屡次取得优异成绩：18次获得全国跳绳联赛第一名，连续4年获得山东省特等奖，学校“绳彩飞扬”活动获得历下区“阳光大课间”活动评比第一名，学校被评为“山东省校园跳绳推广学校”。

　　（作者：辛吉荣 王欣欣，单位系山东省济南市历下区历山学校）

　　《中国教育报》2023年01月10日第9版