安卓手机的剪贴板有隐私泄露风险吗

[Kartone]

荣耀 200pro ，有些应用在打开时会提示读取了剪切板。假如存放了一些隐私信息，比如账号密码等，是否会被某些应用读取然后上传到云端做语义分析，毕竟现在大模型的信息提取能力已经很强了。 还是说只能任由自己的信息在互联网上裸奔

[CNN]

当然了

且不是数据与反诈互联，安卓手机每次装 App 都像打怪升级，得手动进设置一个个砍权限，还自带“监控”功能，会扫描你桌面上的所有 App ，怕不是比我还关心我自己。

[InkStone]

现在很多国产 Android 系统，应用读取剪贴板要每次授权吧。

[yidinghe]

有，注意 app 权限，关闭剪贴板读取

[wasaibi12345]

用 App Ops ，所有应用均仅允许写入权限，禁止读取权限即可

[kzfile]

开了有泄露信息的代价，关了有失去某些基于剪贴板的便携功能的代价

[mxT52CRuqR6o5]

光给剪切板写入权限其实也有安全风险，比如有那种往剪切板里写比特币地址，让人转账时转错地址的

[legendBro]

电商平台会给你推荐商品

[zeroskylian]

安卓哪个全局剪贴板管理应用好用呢

[Linho1219]

剪贴板的意义就在于这是最方便的暂存信息的地方，如果剪贴板要考虑安全或者隐私之类的话，那就没有意义了

[niubiman]

@Linho1219 怎么会没有意义, 剪贴板的使用只要由用户主动调用系统 api 触发基本上问题不大, 如果放任 app 来随意读取就会有隐私风险

[ouqihang]

很多 APP 往剪贴板里写乱码传递信息，有些网页更是往剪贴板里塞返利购物链接，而且各家 OS 的管理不统一，落后一点的系统甚至默认 APP 安装好就有剪贴板权限不用请求。

[NoOneNoBody]

剪贴板是“历史遗留问题”，不仅安卓，任何平台都会，只是哪家限制做得更好的区别
剪贴板就是跨应用共享信息，自诞生起就没考虑过隐私或者权限，至今都难以推倒重来，完全靠用户的安全意识，只是手机隐私比桌面平台更多，受到关注而已。桌面软件那些自启一个驱动式常驻，读什么都可以呢

[february2]

肯定会，但是就是方便和隐私怎么选了，我已经躺了不纠结了。

[skallz]

@NoOneNoBody 手机还相对可控一点，电脑那就真的是群魔乱舞毫无限制了，卸载少女前线游戏居然能删除 c 盘，对程序行为毫无限制，哈哈

[Linho1219]

@niubiman 很多 app 的复制粘贴按钮都不是原生的，都是自己实现的，远的不说，微信 qq 都是。如果不允许应用主动读取写入就很难办了

[geelaw]

@niubiman #10 用户无法调用 API ，只能用手按一下屏幕，然后程序知道用户按了一下某个按钮的时候，调用 API 去访问剪贴板。

此问题根源在于无法准确建模访问剪贴板的时机，解法也只能是正确建模。一个可以考虑的思路是这样的：

1. 系统进程可以任意访问剪贴板
2. 所有 app 都默认不能访问剪贴板，但可以被用户同意访问（类似于地理位置的权限模型）
3. 提供一个新的按钮控件，此控件生活在系统进程里，点击此按钮时，系统进程读取剪贴板并传送到 app 进程的事件处理程序里

因为新按钮控件位于系统进程，在合适的权限模型下，app 进程无法访问系统进程，所以无法假装点击。

另外商店审核也可以加入规则，但在 API 和进程权限、隔离上建模是最重要的部分。

@Linho1219 #15 原生文本框的代码只要依然运行在 app 进程里，app 就完全可以选择把原生文本框里访问剪贴板的代码抽取出来。

当然，能这样做是因为 app 的代码并不是严格受控的，一般地，剪贴板 API （或者任何本机代码）并不知道自己的调用者是谁——对比 JavaScript ，后者可以做到“只有用户点击按钮的时候，才能用代码开启新标签页而不被默认阻拦”，是因为“谁、什么时候调用的”的信息来自 JS 引擎。

[jeesk]

最近不知道用了什么插件，自动跳转到一个油管的加密货币频道，气死了，还没排查出来

[fredweili]

有，但是很多时候 app 也不知道电话地址几个密码数字什么意义
我们做的 sdk 可以给复制粘贴的内容加密，其实也不难实现

[uuhhme]

基本上都被国产 app 作夸应用跟踪了。还是操作系统不作为，明明可以做到是识别用户主动粘贴还是默认不允许其它 app 读取，或者类似现在的默认允许 app 读取，的开关

[Esec]

复制和粘贴的时候可以不按顺序分块处理，随时用无用数据填充最后使用的槽位，使用看起来像密码的乱码用户名，最后有空看下医生，还有的治..

[niubiman]

@geelaw 我指的用户调用系统 API 是指电脑端 CTRL/CMD+V 这样的系统级 API, 在移动端也可以通过系统级弹出菜单来调用, 如果系统把这个严格限制死, 必须由系统级的入口调用的话剪贴板应该就是安全的, 比如在 ios 上用户在弹出菜单里面选择"复制""粘贴"并不会触发 app 的权限请求, 只有 app 直接访问剪贴板内存数据的时候才会触发权限请求, 而这个请求是可以被用户永久禁用的, 并不会影响用户主动粘贴

[niubiman]

@niubiman #21 当然, 操作系统能不能做到这样的效果那就是另一回事了

[geelaw]

@niubiman #21 不太确定你说的 Ctrl/Cmd+V 的 API 是什么，Windows 上发生的事情也是：用户按了 Ctrl+V ，程序意识到了这一点，然后调用 OpenClipboard, GetClipboardFormatNameW, GetClipboardData 读取剪贴板，操作系统不知道程序为什么调用它：可以是 Ctrl+V ，可以是上下文菜单的“粘贴”，可以是工具栏的“粘贴”，可以是这个 app 就是想查看剪贴板。

我没有仔细看过 WinRT 是如何限制剪贴板 API 只有前台才能访问的，有两种可能：WinRT 剪贴板 API 单纯选择在非前台时不访问剪贴板，实际无权限约束，直接用 Win32 API 就可以访问（当然，这样做的 app 无法通过审核就是了，但可以 sideload ）； AppContainer SID 拒绝非前台线程访问剪贴板，即实际上有权限约束。

iOS 上，我不确定用户点击菜单的时候，是真的有权限隔离，还是系统菜单和 app 主动访问都在同一个进程里，只是系统菜单访问剪贴板用的是私有 API （和 app 主动调用的 API 是两套路径），所以主动调用之以绕过弹框的 app 无法通过审核。

我的点在于：要区分用户是否主动，需要权限隔离（操作系统内核所施加的安全性）而非仅仅是审核（本质上是所有上架 app 被迫自律）；权限隔离需要的模型可以做，但不简单。

[niubiman]

@uuhhme 目前来看 ios 是遥遥领先的