支付宝用户隐私争议问题大揭秘：到底要不要穿裤子

Apple Pay刷屏之后，一轮对支付宝安卓版漏洞的讨伐也开始了。微博和Twitter上都出现了“支付宝涉嫌收集用户隐私”的消息，作者是Typcn，据知乎上资料称其曾因为12306泄密事件在CCTV出现。

质疑者声明如下：

以上图片相信大部分非技术的同学看不懂，素以我招人来翻译一下：在安卓系统中，支付宝调用了拍照和录音的权限，并且在后台运行。并且有建立一个隐蔽的文件夹，每隔几秒钟就会偷偷调用用户的摄像头以及录音，形成图片、语音资料并且悄悄上传。

这个结果引起很多用户的恐慌，声称要卸载支付宝，甚至开始讨论到底在用支付宝的时候要不要穿裤子?会不会在自己完全不知道的情况下，自己的照片、声音都被录音上传到支付宝的服务器?这样的话，还有没有隐私可言?

支付宝答复如下。

大意是，支付宝确实需要拍照权限和语音权限，前者在扫描二维码的时候需要，后者在聊天的时候需要。而且支付宝确实需要在后台运行，因为需要位置即时通讯。这点跟微信的运作原理是一样的。

当然，Typcn不会那么轻易放过支付宝。他回复：

1、在本次交锋中，质疑者利用了公众对数据隐私问题的恐慌，成功用大家都不太看得懂的技术解读，使很多人对支付宝的信任产生动摇。而其中关于支付宝随时拍照上传的做法更让很多人不寒而栗，由此引发用支付宝要不要穿裤子的解读。客观上为Apple Pay背书。

2、问题在于，Typcn提供的资料证明，支付宝后台运行，调用拍照和录音权限，都可以得到完全合理的解释。在最关键的，支付宝有没有经常拍照并且上传，这个问题上，只是提出了一个假设，但并没有拿出实际的证据。

其推论的原理类似于，有一个人很有钱，并且在下午浏览的草榴，虽然没有证据，但他晚上就是去找小姐了。如果这个人没有找小姐，那么你得找出自己没有找的证据。

3、有人提到，支付宝为何不公布自己的数据包?如果支付宝公布每天到底从安卓手机中收到哪些信息，就可以自证清白了。但是，这种方法也说不通，首先，数据包本身就不应该被公开，涉及公司机密。另外，就算公开一个数据包，可能又该面临数据真假的质疑。

本轮质疑提到的一个点就是，支付宝历史上的某一个版本会导致出现莫名拍照声音，那就是支付宝偷偷拍照的证据。但是我问了周围安卓用户，都没有听到过。而且质疑者也提到，支付宝完全可以修改其在云计算上信息，对外发布一个完全清白的证据，意思就是，支付宝无法自证清白。

相当于，那个看草榴的人是个技术专家，就算他提供小区的摄像头证据自己没找小姐，也可能是他黑了系统之后自己篡改的。

所以结论是，支付宝无法在技术上自证清白。那么只能从动机上来说，支付宝有没有动机来偷偷拍照上传?

4、结论是真的没有。大部分人的手机长期在口袋里，5秒一张照片大部分都是黑乎乎的口袋吧。支付宝后来采集这些大量的，需要占用很大的内存，但无法从中挖掘价值的照片数据，完全是没有必要的。

5、结论是，在本轮交锋中，质疑者没证据证明支付宝作恶，支付宝也没能力自证清白来洗刷自己。因此引发的其他支付产品是否更安全以及要不要穿裤子这些可以告一个段落了。

6、另外，阿里竞品的技术同学对此表示，这次争议是在煽动无知群众，冤枉好人。但是大部分看到隐私觉得不安的同学并不一定愿意看并能看懂辟谣文章。这个只能祝支付宝躺枪安好了。

文末彩蛋，阿里巴巴的安全专家坐不住了，提出要用10万元现金挑战质疑者。链接如下：

http://zhuanlan.zhihu.com/justnow/20595834?from=timeline&isappinstalled=0

感谢虎嗅蔡老师提醒，这个帖子本身并未就挑战规矩做详细的说明，所以攻城狮同学在挑战之前一定要请作者再次划个道道出来，说的清清楚楚到底要如何才算过关。

全世界人民都知道阿里巴巴的老员工身价丰厚，如果他输了，相信不会赖账的。嗯，恭喜发财。

声明，我的研究和结论都仅仅局限于本次事件的分析，相信这种PK还会持续出现，期待下一轮。