智能手机用户对应用安全的认识以及软件中实际存在的漏洞数量之间有着极为不平衡的关系。事实上，很多软件并没有用户想像中那么安全。其原因就在于两个字：权限！
国内厂商对于安卓系统的“改造”在很大程度上弥补了谷歌服务缺陷带来的安全性问题功能齐全的安全中心内置于手机ROM之中给手机安全带来了一定的保证但是，市场终究是利益为向导，很难保证部分手机厂商对于自家的app（包括战略合作或投资方的app）同其他app一样，有一视同仁的“执法力度”。
事实上，手机软件的安全问题，归根到底是软件获得的权限问题若是能保证软件规规矩矩的只获取必须的权限，安全必将得到很大程度上的提高但是，如今的手机软件，轻则获取十几个权限，重则获取几十个权限，数目之多使部分消费者对此非常迷茫，究竟哪些是必要的权限，哪些又是毫无意义的呢？。
Android 安全架构及权限控制机制（着急的可略过）Android 作为一个移动设备的平台，其软件层次结构包括了一个操作系统（OS），中间件（MiddleWare）和应用程序（Application）。
Android 使用 Linux2.6 作为操作系统，Linux2.6 是一种标准的技术，Linux 也是一个开放的操作系统Android 对操作系统的使用包括核心和驱动程序两部分，Android 的 Linux 核心为标准的 Linux2.6 内核，Android 更多的是需要一些与移动设备相关的驱动程序。
Android 的应用程序主要是用户界面（User Interface），通常以 JAVA 程序编写，其中还可以包含各种资源文件（放置在 res 目录中）JAVA 程序及相关资源经过编译后，将生成一个 APK 包。
Android 本身提供了主屏幕（Home），联系人（Contact），电话（Phone），浏览器（Browsers）等众多的核心应用同时应用程序的开发者还可以使用应用程序框架层的 API 实现自己的程序。
Android 的权限分类（此段值得了解）根据用户的使用过程体验，可以将 Android 涉及的权限大致分为如下三类：（1）Android 手机所有者权限：自用户购买 Android 手机后，用户不需要输入任何密码，就具有安装一般应用软件、使用应用程序等的权限；
（2）Android root 权限：该权限为 Android 系统的最高权限，可以对所有系统中文件、数据进行任意操作出厂时默认没有该权限，需要使用 z4Root 等软件进行获取，然而，并不鼓励进行此操作，因为可能由此使用户失去手机原厂保修的权益。
同样，如果将 Android 手机进行 root 权限提升，则此后用户不需要输入任何密码，都将能以 Android root 权限来使用手机（3）Android 应用程序权限：Android 提供了丰富的 SDK（Software development kit），开发人员可以根据其开发 Android 中的应用程序。
而应用程序对 Android 系统资源的访问需要有相应的访问权限，这个权限就称为 Android 应用程序权限，它在应用程序设计时设定，在 Android 系统中初次安装时即生效值得注意的是：如果应用程序设计的权限大于 Android 手机所有者权限，则该应用程序无法运行。
如：没有获取 Android root 权限的手机无法运行 Root Explorer，因为运行该应用程序需要 Android root 权限应用程序要怎样的权限当用户安装完一个app初次使用进入界面之时，一定会跳出各种权限需要，如需要访问通信录、需要访问短信记录、需要启动相机等等。
大多时刻消费者会一路点同意，只为快点使用软件（其实大多数情况是我们只能看，不能手动进行干预权限设置）
部分手机权限是软件必须的，需要其激活软件的功能。如微信使用扫描二维码功能时需要启动相机，语音输入时需要启动麦克风。若是无法调动相应权限，软件功能一定会受阻。
其他的权限需求可能就与软件本身利益有关了比如部分软件访问消费者的通信记录以及短信记录等，可能不是为了推荐向您告知正在使用同款软件的通信录好友，仅仅是为了读取短信内容，更加有针对性地推送广告而已甚至更有部分无良开发者为了获取用户的隐私，通过软件后台上传进行信息倒卖。
日常权限需求下放给App权限时多想想以某手机输入法为例，其所需的十几个权限中，包括GPS/WiFi联网权限，精确定位权限，拍照录音权限，读取短信记录以及联系人记录等权限其中，GPS/WiFi权限可用于自动更新词库，拍照录音权限等可用于设置输入法壁纸以及语音输入等。
这些都可以认为是必要权限（当然你也可以按需禁止）然而，读取短信记录以及联系人记录是真的有意义吗？明面上说，读取联系人记录可以方便输入法快速联想出朋友姓名，方便用户输入可在实际交谈中，用户又有多少机会直接称呼对方的姓名呢？因此小编觉得输入法读取通信录的意义并不大。
至于读取短信记录，输入法终究不是日历应用需要读取会议行程等安排时间，一定意义上可以看成是侵犯隐私了
再比如某地图软件，其要求的权限有准确的位置信息以及位置信息共享功能、读取联系人等作为地图类软件要求联网精确定位无可厚非，但是地图类应用要求读取联系人的意义又何在呢？而小狮子也只是举个例子，现实中不合理的权限需求多的是。
守护个人隐私确保不乱放权限面对手机软件如此多无理的权限需求，作为用户的我们只能选择性看不见吗？显然不是，那到底我们有什么方法去管理好软件权限，进而保证隐私安全呢？1.正规的下载渠道：无论是手机内置的软件商店还是各大知名的第三方手机软件商店，都可以在很大程度上避免您下载到山寨的，捆绑广告插件的以及带有病毒的应用。
当然，即使是正规手机软件商店，未免也良莠不齐在下载时，应尽量下载热门应用，选取下载次数较多的应用（通常来源于官方），在源头上保证下载软件的安全
2.安装前适当的权限设置/借助于第三方安全软件：当软件下载到手机并开始运行时，一定要仔细查看软件所需要的权限并选择是否允许获取对应的权限当然，现在大部分手机ROM都自带权限监控功能，即使你在使用时不慎允许软件获得了隐私权限，也完全可以在安全中心中找到并禁止软件继续获得权限。
进阶玩法修改App权限当非常需要安装某一款软件，又不愿意下放给它权限的时候，既然不能自主勾选，那就自主修改吧！App Shield(国内常见的名字:权限修改器)是一个需要付费的Android应用，其原理是修改应用程序的apk安装包，删除其中AndroidManifest.xml文件内，用于声明权限的对应"Android.Permission.*"条目，然后再用一个公开的证书对安装包重新签名(需要允许"未知源")，这样一来，应用程序就不会向系统申请原先所需的权限。
当应用运行至相应的流程时，系统将直接拒绝，从而达到用户控制权限的目的
对于已安装的应用，AppShield也会按照同样方法制作好apk安装包，然后让用户先卸载原始的应用，再安装调整过的应用除了该应用数字签名外，用户可以随时通过执行同样的流程，将吊销的权限恢复此外，还有LBE安全大师、Permission Denied一类软件能够帮助我们进行权限管理，但需要注意的是，这类软件本身也需要用户下放极高的系统权限，用户胡乱进行删除操作的话，很可能造成系统损坏或者崩溃，使用时一定要慎重！！！。
非常非常必要的自启动的控制Android对后台服务有着最好的支持在Android中可以自由地开发一种称为Service的后台运行的对象，加上没有苹果公司对应用程序的严格限制诸如QQ挂机，即时调用第三方应用程序之类的形式都可以轻易实现。
为了全面支持后台服务，也为了适应移动设备资源紧张，不得不经常清理内存的问题，应用可在系统中设置触发器，当系统发生了某个特定特定事件时(系统启动，拨打电话，收发信息，安装、卸载应用，插上电源等，或应用程序自行定义的事件)，就会触发启动应用程序。
而使用AutoStarts自启动管理，用户能了解系统中每一项程序会在什么场合下被触发运行如果提供Root权限，则还能禁止这样的行为写在最后：用户和厂商皆需努力光有用户的小心是不够的，只有千日做贼，哪有千日防贼的。
随着手机ROM安全的重要性被不断提高，各手机厂商纷纷开始在手机ROM中内置了安全中心，全方位地保障手机安全当然，与其被动地查看应用权限，定期扫描病毒等，手机厂商更愿意主动出击如魅族不仅在Flyme中提供了功能全面的私人管家，更是提供了主动防御功能和智能预警功能，使安全值更高。
亲爱的读者们，感谢您花时间阅读本文。如果您对本文有任何疑问或建议，请随时联系我。我非常乐意与您交流。
发表评论:
◎欢迎参与讨论，请在这里发表您的看法、交流您的观点。