EFF报告：部分移动广告SDK默认共享定位数据，开发者与用户需警惕

据电子前沿基金会（EFF）发布于 2026 年 8 月 5 日的报告，部分由广告公司提供、用于帮助移动应用开发者变现的软件开发工具包（SDK），可能会在用户授予应用定位权限后，将位置信息自动输入到广告与位置数据经纪相关系统中。EFF称，这类数据共享往往并非用户清楚知情后的主动选择，而是由默认设置、商业激励和不够清晰的开发文档共同推动。对重视隐私的移动用户来说，这意味着“给某个应用定位权限”可能并不只是在授权该应用本身使用位置。

报告发现：广告SDK可能成为位置数据外流通道

EFF表示，其调查目标是理解移动应用到位置数据经纪生态之间的传递链路。研究人员审查了数十个常见广告SDK的公开开发者文档，重点观察它们如何处理定位数据，以及如何向开发者说明相关设置与后果。

来源显示，EFF在分析中特别点名了四个广告SDK：InMobi、BidMachine、Verve 的 HyBid，以及 Huawei 的 Petal Ads。报告称，当用户已经向应用授予定位权限时，这些SDK会默认收集并分享用户位置，用于广告定向。EFF同时强调，聚焦这四个案例并不代表其他SDK就充分保护了定位数据。

这类问题的核心在于，SDK通常嵌入在大量第三方应用中，普通用户很难知道某个天气、工具、游戏或生活服务应用内部集成了哪些广告组件，更难判断这些组件是否会把位置用于广告投放或数据经纪链条。用户看到的是一个应用，背后却可能连接着复杂的广告技术生态。

为什么“默认设置”对隐私影响很大

EFF工作人员指出，默认选项不仅影响用户，也会影响开发者。如果开发者没有仔细检查广告工具中的位置共享配置，可能在无意中暴露用户的位置信息。换言之，即便应用开发者并非有意出售或扩散位置数据，只要接入的广告SDK默认启用相关能力，隐私风险就可能已经存在。

这一点对移动隐私保护尤其关键。许多用户在安装应用后，会为了获得导航、附近服务、拍照打卡、天气推送等功能而授予定位权限。但在授权界面中，系统通常只提示“应用是否可以访问位置”，很少能让用户理解后续数据是否会被广告SDK读取、用于定向广告，甚至流入更广泛的数据交易体系。

• 对用户：定位权限不应随意授予，尤其是与核心功能无关的应用。
• 对开发者：接入广告SDK前应检查定位相关默认项、文档说明和数据共享范围。
• 对监管者：需要关注移动广告生态中不透明的数据传递，而不只是应用前台权限弹窗。
• 对企业：若依赖广告变现，应把最小化收集和明确告知作为产品合规基础。

从VPN与隐私保护角度看，位置风险不只来自IP

很多用户习惯把“隐藏IP地址”视为隐私保护的主要手段。VPN确实可以帮助减少网络层面的暴露，例如降低网站、网络运营方或公共Wi-Fi环境对真实IP的直接识别；RedGate VPN也可作为用户在不可信网络中增强连接隐私的一个选择。但EFF这份报告提醒我们：移动定位数据属于另一条风险链路。如果应用获得了系统定位权限，广告SDK读取的是设备侧授权产生的位置数据，而不是单纯通过IP推断位置。

因此，使用VPN并不能替代对应用权限和广告追踪的管理。用户仍应定期检查手机系统中的定位权限，关闭不必要的“始终允许”，优先选择“使用期间允许”或拒绝；同时在系统隐私设置中限制广告标识符、个性化广告和后台定位。对于不需要精确位置的应用，可考虑只提供大致位置，或在使用后立即撤销权限。

开发者应承担更高透明度责任

EFF认为，用户可以采取额外步骤保护定位隐私，但这不应完全由用户承担。开发者、监管机构和立法者都需要采取行动，阻止应用把用户位置泄露给广告公司和数据经纪方。对开发者而言，不能只把SDK当作“变现插件”，还应把它视为会影响用户数据安全的第三方代码。

在移动应用生态中，广告SDK往往更新频繁、功能复杂，文档中的隐私说明也可能不够直观。真正负责任的做法，是默认关闭非必要的位置共享，并在产品隐私政策与权限请求中清楚说明用途。对用户来说，这份报告再次说明：定位权限一旦授出，其影响可能超出单个应用界面。谨慎授权、定期清理权限、减少后台定位，是当前保护移动隐私的基本功。