2. 隐私政策与收集行为一致性核查
核查对象与判定逻辑
本次核查选取一个典型资讯类网站作为对象。隐私政策文本中声明收集的字段为：手机号、设备型号、操作系统版本、浏览记录。实际抓取首页加载及登录流程中的网络请求，提取请求体与查询参数中的字段名，与声明字段逐项比对。
判定规则分三类：声明缺失——实际请求中出现但政策未声明的字段；超范围收集——政策声明了某类字段，但实际采集的粒度或频次明显超出声明目的所需；默认勾选同意——登录或注册界面中同意选项预先选中，用户未主动操作即完成授权。
字段比对结果
| 实际请求字段 | 政策是否声明 | 判定 | 风险说明 |
|---|---|---|---|
| mobile | 是 | 一致 | 登录必需，声明目的匹配 |
| device_model | 是 | 一致 | 用于适配，粒度合理 |
| os_version | 是 | 一致 | 用于兼容性判断 |
| history | 是 | 一致 | 用于推荐，声明目的匹配 |
| imei | 否 | 声明缺失 | 设备唯一标识，政策未提及 |
| mac_address | 否 | 声明缺失 | 可用于设备追踪，未告知 |
| location | 否 | 声明缺失 | 粗略定位，未声明收集目的 |
| installed_apps | 否 | 声明缺失 | 应用列表，明显超出资讯服务必要范围 |
| history（高频上报） | 是 | 超范围收集 | 每5秒上报一次浏览行为，超出“用于推荐”的合理频次 |
默认勾选同意核查：登录页“同意《隐私政策》”复选框初始状态为 checked，用户点击登录即视为同意，未提供主动勾选动作，构成默认勾选同意风险。
核查流程与证据链
核查操作要点
- 抓包工具选择：使用浏览器开发者工具 Network 面板或代理工具（如 Charles、Fiddler）捕获请求。重点关注登录接口、首页初始化接口、埋点上报接口。
- 字段提取方法：对请求体 JSON 和 URL 查询参数分别解析，提取所有 key 名。对埋点接口需额外记录上报频率，判断是否超出声明目的所需。
- 默认勾选验证：清除浏览器缓存后重新加载登录页，检查同意复选框的初始 checked 属性。若为 checked，记录 DOM 状态截图作为证据。
- 证据固定：对隐私政策文本、请求抓包记录、页面初始状态分别截图或导出 HAR 文件，形成可追溯的核查证据链。
核查结论：该网站存在 4 项声明缺失字段、1 项超范围收集行为、1 项默认勾选同意问题。建议优先整改 imei、mac_address、installed_apps 的未告知收集，以及登录页默认勾选同意机制。