极光推送正在滥用媒体储存来跨应用追踪用户
发现极光推送正在滥用媒体储存来跨应用追踪用户
今天更新了 Bilibili，OneDrive 突然询问我是否要自动备份 jpush 的文件夹。我当时就困惑起来了，因为用了存储空间隔离，只给了几个应用写入 Pictures 文件夹的权限。
看 /Pictures/jpush 里面是什么东西，好家伙，明明白白写在文件名上，jpush_uid.png。虽然是 png，但不能用相册打开，因为它是一个文本文档。打开后是一串字符，似乎不是 base64 编码。
经排查发现，这是 Bilibili 产生的。通过 LibCheck 比对，发现它更新了极光推送的原生库，版本为 libjcore273.so。
几乎可以肯定这个是极光在高版本安卓系统收紧存储权限的情况下，为了跨应用追踪用户 UID 的手段。建议彻底关闭 Bilibili 的存储权限。