第三方API和SDK是现代应用开发中不可或缺的一部分。开发者使用第三方SDK来实现支付功能、广告展示、数据分析和用户认证等功能。但是这些第三方SDK在提供便利的同时，也可能在用户不知情的情况下大量收集数据。一个看似简单的天气App中可能集成了超过十个不同的第三方SDK，这些SDK各自独立地收集用户的数据，然后发送到各自的数据平台。用户明明是使用一个App，但实际上是在向十几家公司同时提供自己的个人信息，而且完全不知道这些数据被用来做什么。
故事：某手机应用商店上有一个下载量很大的天气App，用户安装后发现它的功能就是简单地显示天气。但在安全研究人员的分析下发现这个App中集成了十几个广告和分析SDK。这些SDK在后台收集了用户的精确位置信息、WiFi网络列表、手机型号和操作系统版本、安装的应用列表、设备标识符等信息。这些数据被发送给至少八家不同的第三方公司。用户以为他只是在看天气，但实际上他的手机正在向多个平台传输他的位置数据和设备指纹信息。更让人吃惊的是用户完全不知道这些SDK的存在，因为这些SDK在运行中没有任何可视化提示。
泄密链路分析：应用开发者在开发App时为了快速实现功能集成多个第三方SDK。这些SDK通常会在隐私政策中模糊地说明数据收集行为，但大多数用户不会阅读冗长的隐私政策。SDK在App中运行于后台，利用应用申请的权限收集各种用户数据。收集的数据通过SDK内置的网络通道发送到第三方的数据平台。这些第三方数据平台将数据出售或共享给广告商、数据经纪商和营销公司，从中获取收入。用户的数据就在这个链条中被多次贩卖，用户自己却一无所知。
警示：应用开发者在选择第三方SDK时应进行安全审查，了解其数据收集的范围和用途。对于用户来说可以注意App索要的权限是否合理，一个天气App为什么要读取通讯录和短信权限，这明显不合理。在安装App前可以查看其他用户对其隐私安全性的评价。使用手机系统自带的隐私报告功能查看App在后台都访问了哪些数据和权限。第三方API和SDK是现代应用生态的一部分，但它们的隐私风险需要被认真对待。作为用户你在使用免费App时付出的代价可能不仅仅是看广告，还有你的隐私数据被转卖的代价。每一个你手机里的App壳子下面，可能藏着十几个你完全不知道的数据采集器，它们在你不知情的情况下正在把你的隐私一五一十地传输出去。
