3. APP与SDK的数据交互技术原理
要判断一个第三方SDK是否合规，不能只看隐私政策文本，必须理解它在APP内部“怎么活、怎么拿数据、怎么把数据送出去”。本节从技术链路角度拆解SDK与宿主APP之间的数据交互原理，帮助合规人员建立“可验证”的技术判断力。
一、嵌入方式决定SDK的权限边界
第三方SDK进入APP的方式主要有四种，不同嵌入方式直接决定了它能接触到的数据范围：
- 源码级集成（SDK源码/静态库）：SDK代码与APP代码一起编译，运行在同一个进程空间，可直接调用宿主APP的类、方法、上下文对象（如Android的Context、iOS的UIApplication）。这类SDK最容易越界获取设备标识、剪贴板、已安装应用列表等敏感信息。
- 动态库/框架（.so、.a、.framework、.aar）：以二进制形式打包进APK/IPA，仍与宿主同进程，权限边界与源码集成基本一致，但代码不可见，需通过反编译或抓包验证行为。
- 独立进程/插件化：SDK运行在独立进程或通过插件框架加载，与宿主通过Binder、AIDL、URL Scheme或IPC通信。数据需显式跨进程传递，边界相对清晰，但通信内容仍需审计。
- 远程服务/WebView/H5：SDK逻辑在服务端或网页中执行，APP仅作为容器。此时数据采集多发生在Web层，需关注JS Bridge、Cookie、LocalStorage及WebView的URL参数泄露。
合规检查时，应要求技术团队提供SDK的集成方式说明，并对照其隐私政策中声明的“收集范围”判断是否存在能力与声明不匹配的情况。例如，一个仅声明“统计崩溃”的SDK，若以源码级集成且申请了读取电话状态权限，就属于高风险信号。
二、初始化流程：数据采集的“开关”时刻
SDK初始化是数据交互的起点，也是合规控制的关键节点。典型初始化流程如下：
- APP启动，加载SDK类或动态库；
- 调用初始化方法（如
init(context, appId, config)），传入上下文、应用标识和配置参数； - SDK内部注册生命周期监听、网络监听、权限回调；
- SDK根据配置决定是否立即采集设备信息、是否上报激活事件；
- 部分SDK会延迟到用户同意隐私政策后再执行采集，这依赖APP在初始化时传入“同意状态”参数。
合规要点在于：初始化时机必须晚于用户同意。如果SDK在Application.onCreate()或attachBaseContext()阶段就自动初始化并采集数据，则无论隐私政策如何写，都已构成“未同意先收集”。技术验证方法是抓包观察APP首次启动、用户尚未点击“同意”时，是否已有SDK域名请求发出。
三、数据采集接口：SDK能拿到什么
SDK采集数据通常通过以下接口或系统能力实现：
- 设备标识类：IMEI、IMSI、Android ID、OAID、IDFA、IDFV、MAC地址、序列号；
- 网络与位置类：IP地址、Wi-Fi SSID/BSSID、基站信息、GPS经纬度；
- 应用环境类：已安装应用列表、运行中进程、传感器列表、剪贴板内容；
- 用户行为类：页面停留、点击事件、崩溃日志、自定义事件埋点；
- 宿主传入类：APP主动通过接口传给SDK的用户ID、手机号、订单信息等。
其中“宿主传入类”最容易被忽视。很多APP为了做用户画像，会把加密后的手机号、会员等级直接传给SDK，而SDK隐私政策并未声明接收此类信息。合规审计时，应重点检查APP代码中调用SDK的传参位置，确认传入字段是否在双方协议和隐私政策中均有覆盖。
四、网络传输：数据出境的“最后一公里”
SDK采集到的数据最终要通过网络上报。合规审计需要关注三个层面：
传输协议与加密。正规SDK应使用HTTPS，并对关键字段做额外加密或签名。若抓包发现明文HTTP请求，或HTTPS证书校验被关闭（如TrustAllCerts），则存在中间人攻击与数据泄露风险。
上报域名与频率。应梳理SDK实际请求的域名清单，判断是否与隐私政策中披露的第三方主体一致。部分SDK会通过CDN或代理域名隐藏真实接收方，需结合DNS解析和证书信息交叉验证。上报频率过高（如每秒一次）也可能构成过度收集。
数据出境判断。若SDK服务端位于境外，或使用境外云服务，则涉及数据出境。需确认是否完成安全评估、标准合同备案或认证，并在隐私政策中单独告知。
五、本地存储：被忽视的“数据残留”
SDK通常会在本地写入缓存，常见位置包括：
- SharedPreferences / NSUserDefaults：存储设备标识、用户ID、配置项；
- SQLite / Realm：存储事件队列、日志、用户画像标签；
- 文件缓存目录：存储图片、配置、离线包；
- Keychain / Keystore：存储加密密钥或持久化标识。
合规风险在于：用户注销账号或撤回同意后，SDK本地缓存是否被清除。技术验证方法是注销后检查APP沙盒目录，确认SDK相关数据库和偏好文件是否已删除或匿名化。若仍保留可关联到个人的标识，则违反“删除权”要求。
理解上述技术链路后，合规工作就不再停留在“看文档”层面，而是可以针对嵌入方式、初始化时机、采集接口、传输域名和本地存储五个环节分别设计验证动作，形成可追溯、可复现的审计证据。