App治理工作组：拼多多APP远程删除照片事件授权机制颗粒度太粗

今日，App治理工作组发布了对“拼多多APP远程删除照片”事件的分析与点评。

App治理工作组表示，“存储”权限同时包括读、写(包含删除操作)两个分权限，Android10之前的App在申请“存储”权限时，只能一次性全部申请，用户在授权时也是一次性全部授予。由于授权机制的颗粒度太粗，App获得访问共享存储空间的权限后，就能够访问、删除、上传存储在此空间的文件。

此次的事件折射的是App和用户之间权利不对等关系，App获取存储权限之后，既可执行对应的产品功能，也可以在用户无感的情况下进行操作，甚至违规收集、删除用户数据。如果相关行为由用户自行发起，用户自然不会产生怀疑，如果是App的私自行为，则会因为暴露而被曝光。而通过庞大的社会监督力量，便可促使App的行为更加“规矩”。

不久前，一名使用vivo手机的用户称，自己在发送给拼多多客服活动截图证据时，自己的手机检测到拼多多APP将手机相册里的照片删除。

当时vivo官方表示，如允许对应的权限，该软件就可以获取对应的信息执行相应的操作。

同时，拼多多方面也表示，App在获取“存储”权限后，确实具备读增删改图片等的能力。在拼多多App内的客服聊天页面，点击“+”选择“拍摄”并完成拍照后，如果立刻点击发送，这一图片会被保存至系统相册;如果在发送之前，进行剪裁、美等编辑动作，App会保存一张拍完的图片到系统相册，起到类似于“缓存”的作用，待编辑完成并发送后，App会删除编辑之前的图片，保留编辑后发送的图片。这导致了vivo系统认为有删除图片的操作。

关键词： 拼多多，APP，删除