App使用软件开发工具包（SDK）安全指引-全国信息安全标准化技术委员会会员免费

TC260-PG-20205A网络安全标准实践指南—移动互联网应用程序（App）使用软件开发工具包（SDK）安全指引（v1.0-202011）全国信息安全标准化技术委员会秘书处2020 年 11 月本文档可从以下网址获得：www.tc260.org.cn/

I前言《网络安全标准实践指南》（以下简称《实践指南》）是全国信息安全标准化技术委员会（以下简称“信安标委”）秘书处组织制定和发布的标准相关技术文件，旨在围绕网络安全法律法规政策、标准、网络安全热点和事件等主题，宣传网络安全相关标准及知识，提供标准化实践指引。

II声明本《实践指南》版权属于信安标委秘书处，未经秘书处书面授权，不得以任何方式抄袭、翻译《实践指南》的任何部分。凡转载或引用本《实践指南》的观点、数据，请注明“来源：全国信息安全标准化技术委员会秘书处”。技术支持单位本《实践指南》得到中国电子技术标准化研究院、深圳市腾讯计算机系统有限公司、三六零科技集团有限公司、北京百度网讯科技有限公司、小米科技有限责任公司、阿里巴巴（北京）软件服务有限公司、浙江蚂蚁小微金融服务集团股份有限公司、北京小桔科技有限公司、中国移动通信集团有限公司、每日互动股份有限公司、华为技术有限公司、北京字节跳动科技有限公司、京东数字科技控股有限公司、北京三快科技有限公司、友盟同欣（北京）科技有限公司、上海钧正网络科技有限公司、北京京东尚科信息技术有限公司、高德软件有限公司、OPPO 广东移动通信有限公司等单位的技术支持。

III摘要当前，软件开发工具包（SDK）被广泛应用于各类移动互联网应用程序（App）的开发中，为提升App兼容性和灵活性、节约开发成本带来了便利，但由SDK带来的安全风险也引起多方关注。2018年“寄生推”推送SDK通过云端控制的方式对目标用户下发包含恶意功能的代码包，殃及300多款应用，潜在可影响近2000万用户。2020年央视“3.15”晚会曝光了SDK违法违规收集用户个人信息的问题，在社会上引起了强烈反响。本实践指南依据法律法规和政策标准要求，针对当前App使用SDK过程中可能面临的SDK安全漏洞、恶意行为、违法违规收集使用个人信息等问题，参考当前SDK安全最佳实践，给出了App使用SDK的安全实践指引，旨在减少因SDK造成的App安全与个人信息保护问题。

IV目录1 适用范围.........................................................................................................................................12 术语定义.........................................................................................................................................13 概述................................................................................................................................................. 23.1 App 使用 SDK 的相关方和责任........................................................................................23.2 常见 SDK 类型...................................................................................................................34 常见安全问题.................................................................................................................................44.1 SDK 自身安全漏洞.............................................................................................................54.2 SDK 恶意行为.....................................................................................................................74.3 SDK 收集使用个人信息问题............................................................................................ 85 基本原则和安全措施.....................................................................................................................95.1 App 使用 SDK 安全原则............................................................................................