【动画】@App开发者们，你想了解的SDK安全风险都在这！******
日前，工业和信息化部信息通信管理局通报了今年第一批侵害用户权益行为App，有13款内嵌第三方SDK存在违规收集用户设备信息行为。
现如今，大量App借助SDK实现特定功能，提供便捷服务，满足用户多样需要，但APP使用SDK也可能带来相关安全问题，包括SDK自身安全漏洞、SDK恶意行为、SDK收集使用个人信息三类。
其中，SDK恶意行为是指嵌入APP中的SDK自身产生的恶意行为。这种恶意行为将破坏使用SDK的APP的安全性，对用户权益、数据等方面造成严重威胁。典型的恶意行为如流量劫持、资费消耗、隐私窃取等。
常见SDK恶意行为
流量劫持指SDK信息拉取、上报和展示目标App提供者设定的目标不同，恶意劫持App流量，可能对App造成损害；隐私窃取指SDK在用户不知情或误导用户的情况下，隐蔽窃取用户的通讯录、短信息等个人敏感信息，隐蔽进行拍照、录音等敏感行为，并发送给恶意开发者；广告刷量指SDK在最终用户不知情的情况下，在后台模拟人工点击广告链接进行牟利。
在SDK收集使用个人信息方面，安天移动安全发现，应用接入第三方SDK引发的违规收集个人信息问题较为普遍。其中，包括用户同意隐私政策前就开始收集个人信息、隐私政策中未明确提及所接入的SDK和数据收集情况、SDK收集的个人信息范围与隐私政策不相符等。
除了上述 SDK恶意行为外，当前 App 接入的 SDK 中还存在以上风险行为类型
在对某统计类SDK检测分析时研究发现，其主要提供用户行为统计功能，并在此过程中实现用户终端数据的收集和上传。
由于该SDK 在不同App中存在模块代码和版本的不同，因此对其在不同月活范围 App 中的数据收集行为进行抽样分析，从结果上来看，该SDK 普遍存在违规收集和超范围收集个人信息的问题，并且在月活较低的 App 接入的版本中，还存在通过云控参数控制 SDK 在终端侧收集数据范围的情况，并且涉及大量用户隐私路径数据的访问。
以某知名地图 App为例，在相关检测中发现，在隐私政策中明确提到了应用内第三方 SDK所收集的个人信息类型为设备信息和 Wi-Fi 地址。而实际上传的数据中除了包含 WiFi 的BSSID名称信息外，还频繁上传用户安装应用的列表信息。
国家标准计划《信息安全技术 移动互联网应用程序（App）收集个人信息基本要求》中明确定义了不同业务场景下，应用收集个人信息范围的最小化原则。而在应用接入的 SDK 中，收集个人信息范围、频度的必要性和最小化原则同样适用于SDK的功能业务场景。
虽然部分应用接入 SDK 时明示了 SDK 所收集的个人信息范围，但其合理性和必要性存疑，例如收集个人信息范围为软件安装列表，但实际除了收集安装应用包名信息外，还收集了安装应用运行状态信息等，这就涉及超范围收集个人信息。
例如，某统计类 SDK除了应用开发者本身主动调用相关事件接口外，SDK自身还注册监听了多种广播消息，在监听到相关消息后则会触发数据的收集和上传行为。例如对解锁屏、电源连接断开事件进行监听、对用户终端安装、卸载应用行为进行监听，除此以外，还会监听应用前台、后台的切换行为从而触发数据的收集和上传。
另外，当前 App 接入的 SDK 中还存在云端控制SDK行为，热更新技术控制 SDK 行为，后台拉活、自动下载安装、误触下载等风险行为。
（监制：张宁 策划：李政葳 制作：黎梦竹）
山东寿光：合奏育人“主旋律”******
山东寿光构建“四个一体化”思政教育工作体系——
合奏育人“主旋律”
“在‘学会与父母沟通’一课上，学生模拟还原了与父母发生矛盾的真实情景，并就‘我们如何与父母相处’这一问题展开自由辩论，在相互交流中学会了与父母换位思考；在‘模拟法庭’课上，老师组织开展了‘我是法律小专家’案例分析活动，学生运用所学法律知识对案例进行分析，提高了学生学法、知法、守法、用法能力。”近日，山东寿光现代明德学校校长王永亮告诉记者，该校在山东省寿光市思政教育一体化建设工程引领下，改进思政育人模式，收到了良好效果。
近年来，寿光市紧紧围绕立德树人根本任务，着力构建基于“顶层设计、课程打造、队伍培养、阵地建设”为主的“四个一体化”工作体系，实施党建统领下的思政铸魂育人工程，激活了学校思政教育“一池春水”，有力提升了思政教育质量和育人水平。
2021年，寿光市成立了思政课教学指导委员会、大中小学思政课程一体化研究课题组，汇聚了大中小学思政课教育专家和骨干教师30余人，强化对全市思政课教学的指导与研究。通过建立完善顶层设计，寿光确保覆盖大中小学各个学段的教材体系、教学体系、评价体系、实践育人体系、师资建设体系、保障体系等整体协同，坚定育人“大方向”。
“通过顶层设计一体化，打破了学段壁垒，统筹理顺思政德育目标一致和内容梯度衔接的关系，有效解决了教育目标制定脱节、教育内容交叉重复、不同阶段的思政教育缺乏有效衔接等问题，为思政铸魂育人工程注入了生机活力。”寿光市委教育工委委员刘福昌说。
同时，寿光通过跨学段协同联动的思政课一体化教学研究联盟建设，加强了各联盟学校之间的协调“互动”，构建了不同学段“协同作战”的思政课实施体系。作为寿光域内唯一的本科院校，潍坊科技学院与寿光现代中学等24所中小学建立大中小学思政课一体化建设研究基地，开展思政课教学研究，促进各学段思政教育融通融合。
“联盟校共建为邻学段、同学段、跨学段相互听课、集体备课、思政课‘堵点’集体攻关及思政课教学资源共享搭建了平台，让每个学段都有‘责任田’，实现了不同学段思政课教师无障碍交流。”寿光市教体局党建工作科负责人李新刚介绍。
在日前寿光市大中小学一体化“同城大课堂”专题研讨会上，来自全市各学段300多名大中小学思政课教师围绕“传承红色基因”这一主题同备一堂课，以家乡的红色元素为切入点，以不同年龄段学生喜欢听、能听懂的方式宣讲党的二十大精神。
在思政课教师队伍一体化培养中，寿光坚持统筹融合，全力构建全市思政课教师共同体，创新实施“一一二”工作法，即成立一个市级教研团队，组织大中小学开展联合教研；打造一个教学法，与“教学评一致性”相融合，打造高效课堂；定期组织全市各大中小学教师“同备一节课”“同上一堂课”，将一体化建设的研究成果转化为教师课堂教学的生动实践，培养思政育人“生力军”。
同时，寿光加快大中小学思政课教师专业发展一体化团队建设，遴选了6个思政课教学示范团队，组建16个思政课名师工作室，辐射引领全市1600多名思政课教师实现专业化成长，并优化完善思政课教师评价激励机制，调动教师参与衔接的积极性和主动性。
此外，寿光还大力推动思政育人阵地建设一体化，形成合奏育人“主旋律”。“我们的思政课不仅在课堂上，还经常开设在各类实践基地，这种丰富多彩的‘体验式’思政教育，学生更喜欢、效果更好。”日前，正带领学生在寿光市蔬菜高科技示范园上思政课的寿光一中教师李舒说。
与这堂“出圈”的思政课一样，寿光越来越多的思政课教师尝试用新的“打开方式”，让思政课变得鲜活可感、有料有趣。近年来，寿光遴选新时代精神文明广场、牛头镇抗日武装起义陈列馆等30个大中小学思政课一体化教学实践基地，联合开展“进企业、进社区、进农村”等参观考察和主题实践活动，让“行走的思政课”在学生心中留下了印记。
目前，寿光市思政课阵地建设一体化格局基本形成，育人效益不断提升，实现了课内外无缝衔接、全过程全方位育人。“我们将持续开好、上好一体化贯穿各学段的思政课，以入耳入脑入心的思政教育，促进学生德智体美劳全面发展，为学生健康成长打好生命底色。”寿光市教体局党组书记、局长张国峰这样说。（本报记者 魏海政 通讯员 商荣宾 张伟峰）
