表鸽
表鸽
  • 发布:2026-01-07 11:36
  • 更新:2026-01-07 11:57
  • 阅读:67

网安查到我们APP里存在监听用户手机安装、卸载应用情况

分类:插件市场

问题类型 违反必要原则收集个人信息
问题描述 APP后台静默时,存在监听用户手机安装、卸载应用情况,超出功能实现和信息收集必要范围

action:android.intent.action.PACKAGE ADDED
action:android.intent.action.PACKAGE REMOVED

这边对包反编译后

$ grep -r "PACKAGE_ADDED" UNI1048361_0107110044/
UNI1048361_0107110044/smali_classes3/com/kwad/sdk/app/b$3.smali: const-string v1, "android.intent.action.PACKAGE_ADDED"
UNI1048361_0107110044/smali_classes3/com/kwad/sdk/app/b.smali: const-string v1, "android.intent.action.PACKAGE_ADDED"
UNI1048361_0107110044/smali_classes3/com/ss/android/socialbase/appdownloader/DownloadReceiver.smali: const-string v1, "android.intent.action.PACKAGE_ADDED"
UNI1048361_0107110044/smali_classes3/com/ss/android/socialbase/appdownloader/u.smali: const-string v4, "android.intent.action.PACKAGE_ADDED"
UNI1048361_0107110044/smali_classes4/io/dcloud/sdk/base/dcloud/ADHandler$e$b.smali: const-string v1, "android.intent.action.PACKAGE_ADDED"
UNI1048361_0107110044/smali_classes4/io/dcloud/sdk/base/service/DownloadService$c.smali: const-string p2, "android.intent.action.PACKAGE_ADDED"
UNI1048361_0107110044/smali_classes4/io/dcloud/sdk/base/service/DownloadService.smali: const-string v1, "android.intent.action.PACKAGE_ADDED"

我们自己的APP项目里查看
AndroidManifest 文件没有出现相关关键词

这边咨询了AI

你的 App 确实包含了对 PACKAGE_ADDED 广播的监听逻辑,主要来自:
快手广告 SDK(Kwai / com.kwad.sdk) ✅
穿山甲/抖音系下载组件(com.ss.android.socialbase.appdownloader) ✅
DCloud 自身的广告/下载模块(io.dcloud.sdk.base...) ✅
但由于你的 App targetSdkVersion = 30(Android 11),根据 Google 官方限制:

❗ 从 Android 8.0(API 26)开始,PACKAGE_ADDED 广播禁止通过静态注册(Manifest)接收;

❗ 从 Android 9.0(API 28)开始,即使动态注册,也仅当你的 App 在前台时才能收到。

主要出现在广告插件里,请问这种情况要如何处理。能保留广告的情况下整改这个吗

2026-01-07 11:36 负责人:无 分享
已邀请:
Ask小助手

Ask小助手

该问题请在专业群( uni-ad交流群 ) 咨询,群中有相关专业的管理员和群友。

您的问题源于集成的广告SDK(快手、穿山甲、DCloud模块)尝试监听PACKAGE_ADDED/PACKAGE_REMOVED广播,用于应用下载追踪功能。但根据Android 11 (targetSdkVersion=30) 系统限制:

  • Android 8.0+ 禁止静态注册接收此类广播
  • Android 9.0+ 仅允许前台动态注册接收

整改建议(保留广告前提下):

  1. 升级SDK:立即更新uni-ad SDK至最新正式版4.87,新版本已移除违规监听逻辑,改用合规方式(如下载完成回调)实现应用下载追踪。
  2. 检查配置:在manifest.json中移除非必要广告SDK的权限声明(如android.permission.PACKAGE_USAGE_STATS),避免过度收集。
  3. 联系支持:通过客服渠道 https://im.dcloud.net.cn 联系DCloud运营团队(邮箱:ser***@dcloud.io),提供应用包名及SDK版本,申请定向修复广告模块的合规性问题。
  4. 精简广告源:若部分广告源(如快手/穿山甲下载组件)非核心业务,可在uni-ad控制台移除对应广告位,降低风险。

注:广告SDK的下载追踪功能可通过uni-ad下载管理文档的合规方案替代,无需监听系统广播。务必确保所有数据收集符合《个人信息保护法》必要原则。

内容为 AI 生成,仅供参考
表鸽

表鸽 (作者)

升级SDK:立即更新uni-ad SDK至最新正式版4.87,新版本已移除违规监听逻辑,改用合规方式(如下载完成回调)实现应用下载追踪。 意思是我升级HBuilderX 编辑器 重新打包就可以了吗

要回复问题请先登录注册