你刚搜的东西,其他App为何转头就知道了?

昨天在淘宝搜了一双洞洞鞋，没买，关掉了。打开微博——洞洞鞋广告。打开抖音——洞洞鞋推荐。打开小红书——"夏天必入的洞洞鞋测评"。

你有没有过这种感觉：我只是搜了一下而已，怎么全世界都知道了？

先排除两个常见猜测：不是两家公司在后台交换你的搜索记录（违法），也不是手机麦克风在偷听你说话（技术上不划算，而且耗电明显）。

真相比这两个猜测都更巧妙，也更让人不安。

广告商不需要知道你是谁

核心逻辑很简单：广告商不需要知道你叫什么名字，只要能认出"这是同一台手机"就够了。

你在 A 软件搜了洞洞鞋，A 软件里嵌的广告 SDK 把这个偏好记在了你手机的特征码下面。当你打开 B 软件，B 里面嵌了同一家广告平台的 SDK，SDK 再次识别出你的手机——洞洞鞋广告就来了。

那问题来了：它怎么"认出"你的手机？

答案是设备指纹。

你的手机有一堆看似不起眼的特征：地区设置是中国、键盘装了中文和英文、设备是 2023 年 9 月激活的、屏幕亮度 70%、电量 63%、存储剩余 47.2GB、用的双卡 5G、装了 Steam 和 Discord……

单看任何一条，没什么用。但全部组合在一起，它就是你的手机在几十亿台设备里的唯一身份证。

不需要你的名字，不需要你的手机号，甚至不需要你授予任何权限。

最近有个 App 火了，叫 Loupe。它干的事只有一件：打开它，它会把你手机上"任何 App 都能直接拿到的信息"全部列出来给你看。

▲ 你的手机在零权限下就在"广播"这些信息

开发团队是 Mysk——来自加拿大和德国的两位安全研究员，长期专注 iOS 隐私研究。他们之前干过什么？抓包发现 Facebook、Instagram、Chrome、Spotify 这些大厂 App 在苹果的隐私清单里承诺不收集某些数据，实际上照收不误。

Loupe 完全免费、开源（GitHub: mysk-research/loupe），只支持 iPhone，安卓暂时没有。

我列一下它展示的内容，你感受一下——以下信息不需要你点任何"允许"按钮，App 打开就能拿：

▲ Loupe：由 Mysk 团队开发的免费开源隐私工具

▲ 跨App追踪的完整链路：搜索→SDK上报→全平台推送

再看看你给了相册权限之后，App 还能知道什么：

给了本地网络权限？局域网里所有设备它都能扫到——你同事的电脑、打印机、NAS，全部暴露。

▲ 四个实用的隐私防护措施

建议：所有 App 设置为使用系统图片选择器。iOS 默认不会把照片的定位信息发送给 App。

搞清楚设备指纹之后，跨 App 追踪的逻辑就通了。

大量 App 接入了第三方广告 SDK。这个 SDK 在给你展示广告的同时，会把你的设备特征打包发回广告平台。你在 A 软件留下来的口味，广告平台一个广而告之，B、C、D 软件都知道了。

这不是阴谋论，是商业模式。

苹果其实有防线：

IDFV：同一公司旗下的 App 共用一个标识符，跨公司不通用
IDFA：所有 App 通用的广告标识符——2021 年苹果上线了 ATT（App 跟踪透明度），弹窗问你"允许跟踪吗？"，你点拒绝，IDFA 就清零

大部分人确实点了"拒绝"。但广告商没闲着——IDFA 不给用了，那就换设备指纹，更隐蔽，用户根本无感。苹果虽然要求开发者声明理由，但 Mysk 团队实测发现，Meta、Google、Spotify 这些大厂该传的照传。

2025 年谷歌研究团队发了一篇论文，分析了 18 万个安卓 App 和 22 万个 SDK。结论：

也就是说你装 10 个热门 App，有 4 个在悄悄给你画像。交友和看漫画的，几乎每个都在收。

设备指纹这东西没法完全避免——你的手机总得有型号、有语言、有屏幕亮度。但至少别再主动送数据了。知道它在发生，就是防御的第一步。