你是否曾有过这样的经历：前一天在社交媒体应用上搜索过一双洞洞鞋，第二天却在毫不相关的购物应用中看到了这双鞋的推荐？
这种现象会让你感到不安，开始回忆是否在其他应用中搜索过这双鞋。在确认没有后，你可能会猜测，要么是“这两家公司在偷偷交换我的数据”，要么是“手机的麦克风在监听我”。
尽管这两种猜测都有些夸张，尤其是麦克风监听很容易被发现，但考虑到当前互联网公司的操作，也不能完全排除。
实际上，广告商还有一种更隐蔽且安全的方式，能够跨应用向你推送洞洞鞋的广告：他们只需要能够识别出“你的手机”即可。
例如，一台手机在应用A中搜索了洞洞鞋，这个偏好就会被记录在该设备名下。当这台手机切换到应用B时，应用B识别出是同一台设备，便能继续推送该偏好。这种识别是基于设备本身，而无需知道你的身份信息。
那么，广告商是如何收集这些信息，又是如何实现信息共享的呢？
最近，一个安全团队开发了一款名为Loupe的应用。它的主要功能是向用户展示应用能够获取多少数据，以及用户每授予一个新权限，会暴露哪些信息。
使用Loupe后，你会更加谨慎地授予应用权限，因为它能让你深刻理解数据暴露的风险。
举例来说，即使不授予Loupe任何权限，它也能展示出手机的一些基本信息。它能识别出手机地区设置为新加坡，键盘使用中英文混合输入，设备是2023年9月激活的，自那时起已复制了29034次，并且上次开机是8天3小时44分钟前。
Loupe甚至能根据你安装的应用（如Steam、Discord、GitHub、Slack）来推测你的兴趣和职业。
以上只是应用界面显示的部分信息。若查看更详细的报告，你会发现它能获取更多数据。例如，你的iPhone 15 Pro剩余105GB存储空间，当前使用深色模式，屏幕亮度在中等水平，电量60%，未连接充电器；双卡双待，两张卡均处于5G网络，甚至还能感知手机的倾斜角度和朝向。
你可能会觉得这些零散的信息无关紧要，无法定位到你。确实如此。
然而，这些信息组合起来，就构成了你iPhone独一无二的“设备指纹”，足以让广告商在众多设备中识别出你的手机。
值得注意的是，Loupe目前展示的信息是基于公开API获取的。如果像其他应用那样，你授予了Loupe访问相册、定位等权限，它将能够获取更多信息。
例如，授予相册权限后，Loupe可以显示图库中有1119段视频和9371张图片，其中3033张带有地理位置信息，并能列出你常去的地点的出现频率。
虽然Loupe可能只显示“余杭区”这样的区域信息，但这仅仅是为了方便展示。照片中的EXIF信息包含精确到十米左右的经纬度。应用可以通过分析不同位置的出现次数和时间点，大致推测出你的居住地、工作地点，以及节假日可能出现的家乡地点。
这或许解释了为什么有些应用即使未获得定位权限，却能推送周边活动和信息，这可能与授予了整个相册权限有关。
建议大家将所有应用的相册访问设置为使用系统图片选择器，这样iOS默认不会将照片的定位信息发送给应用。
同时，对于那些为了“方便”而请求开启全部权限的弹窗，建议选择“保持现状”。
接下来，如果授予Loupe本地网络权限，它能获取的信息同样令人关注。这个权限通常被认为是用于连接打印机或投屏，但一旦允许，它就能显示局域网内的所有设备，包括同事的电脑、打印机和NAS。
虽然看到周围设备是该权限的合理功能，但令人不解的是，很多应用在用户并未主动请求连接设备时，就主动索要该权限。
至于位置、蓝牙、日历等权限，每授予一个，应用对你的了解就越深入，设备指纹就越清晰。
那么，你在应用A中生成的设备指纹和偏好信息，是如何被应用B得知的呢？
答案在于广告商。许多应用并不自行开发广告系统，而是集成现成的广告SDK。你在应用中看到的广告，就是通过这些SDK从广告平台获取并展示的。
同时，SDK会将你手机的设备特征上传至广告平台。这样，你在应用A中产生的偏好信息，就会通过广告平台的推广，被应用B、C、D等其他应用获知。
实际上，SDK识别设备本不必如此复杂。苹果曾提供IDFV（ID for Vendor），用于同一公司旗下应用间的用户识别。但跨公司识别时，IDFA（ID for Advertisers）则被用于此目的，它为每台手机生成一个通用识别码，方便广告商跨应用追踪用户。
然而，自2021年苹果推出App跟踪透明度（ATT）政策后，IDFA的使用权被交还给用户。应用需要先征得用户同意才能进行跟踪，否则该识别码将被清零。
在这种情况下，广告商只能依赖设备指纹技术进行跨应用识别。
那么，是否有应用在秘密使用这项技术？
Loupe的开发者团队Mysk曾发现，Facebook、Instagram、Threads、Chrome、Spotify等应用，虽然在苹果隐私清单中承诺不外传信息，却仍然会偷偷发送用户手机的开机时间等数据，这很可能是为了拼凑设备指纹。
类似的情况也存在于安卓平台。2025年的一项研究发现，谷歌商店中的热门安卓应用里，有39.4%的应用集成了收集设备指纹的SDK，而在交友和漫画类应用中，这一比例更是高达82%和88%。
Loupe目前完全免费且开源，iPhone用户可以尝试下载使用（安卓用户可能需要等待）。
当然，了解这些信息后不必过度担忧。广告商除了设备指纹，还可以通过相似人群、账号打通、协同过滤等多种方式来预测你的偏好。Loupe的主要价值在于，它能让你清楚地知道哪些数据正在暴露，以及在何种情况下暴露，从而提升安全意识，并保持警惕。
