你的跑步 App，可能正在把你昨晚的轨迹悄悄卖给军方

电子前沿基金会（EFF）2026 年 8 月公布的一份报告显示，Android 应用生态里有相当一部分广告 SDK（软件开发工具包）会"自动继承"App 的位置权限，把用户精确坐标连同设备唯一标识一起被卖给第三方。这种"二次采集"在过去几年一直是行业默认潜规则，但 EFF 这份报告第一次把它公开量化——研究团队在 Google Play 上随机抽测 500 款安装量过百万的 App，发现其中 47% 的 App 内嵌的至少一个广告 SDK 会在用户授权位置权限给 App 之后，把原始 GPS 坐标通过 SDK 后门继续上送。

这些被 SDK 二次采集的位置数据，最终流向往往流入（data broker），而 data broker 的客户里既有广告平台，也有地理围栏营销服务商。EFF 报告显示，五角大楼在过去几年通过数据中介采购过大量"匿名化"位置数据，用途包括监测海外军事基地周边人员流动、识别敏感设施附近的可疑聚集——而这些数据里包含了大量美国本土平民的日常轨迹。

EFF 的具体发现包括几个值得关注的细节。第一是 SDK 在采集数据时并不区分 App 的使用场景——即便用户是在家里打开一个天气 App，只要 App 拿到了位置权限，SDK 就会同步把家里的精确坐标卖出去。位置数据在采集端没办法被业务逻辑"切断"。第二是这些 SDK 默认设置里没有"关闭位置采集"的开关——开发者必须主动修改 SDK 的配置才能阻止后台上送，而绝大多数 App 集成 SDK 时都直接采用默认配置。第三是 Google 的 Play 商店政策里，对 SDK 二次采集没有明确禁止条款，这是 EFF 呼吁政策修订的核心诉求。

对普通用户来说，能采取的保护措施其实非常有限。最直接的方案是在系统设置里把 App 的精确位置权限改成"仅在使用时允许"，但很多 App 即使在你没有打开它的时候也会被 SDK 在后台触发位置请求——这种"幽灵位置请求"是当前 Android 生态最难解决的位置隐私问题。EFF 建议用户在手机里定期检查 App 的权限使用记录，关闭任何"后台位置"权限。

对开发者来说，EFF 这份报告带来的是更现实的合规压力。国际通行的几个主流隐私法规，包括中国《个人信息保护法》对位置数据的采集都有明确约束，集成第三方 SDK 等于把合规责任转嫁给了 SDK 提供方，但一旦数据泄露，开发者仍然要承担主要责任。EFF 建议开发者优先选择通过 Privacy Sandbox 认证的 SDK，或者直接采购无位置采集 SDK 的广告中介方案。

对整个广告行业来说，这份报告的最大冲击在于"匿名化是否真有效"这个长期争议。EFF 明确指出，仅靠匿名化无法保护用户隐私——位置轨迹这种高维数据即便去掉姓名，也能通过停留点和时间戳反推出具体身份。这会进一步压缩依赖位置数据的精准营销空间，迫使整个行业向"上下文广告"或者"聚合数据"模型迁移。



EFF 这份报告揭示的反而是一个被广告行业集体回避的事实——用户以为关闭 App 位置权限就够了，却不知道 SDK 早就在你授权的那一刻把家里的精确坐标卖给了五角大楼的承包商。这种权限信任幻觉才是 Android 生态当前最危险的位置隐私黑洞。



EFF 这份报告给整个 Android 生态敲响了一记警钟——位置数据在今天的流动路径已经远超用户和监管的想象，而 SDK 这种"隐藏管道"正是数据失控的关键节点之一。普通用户能做的最直接动作，是在 Android 系统设置里把"位置"切换到"大致位置"（城市级），并对所有 App 关闭后台位置权限。

（来源：EFF 2026 年 8 月稿件《Android Apps Share Location Data With Data Brokers and military entities》）