# 208项API监控，代码可被远程修改：我把支付宝举报给了国家
向中国网信办正式举报支付宝隐私违规 — 举报全文与全球监管进展

本文永久地址：https://innora.ai/zfb/regulatory-complaint.html
如果本文再次消失，你知道去哪里找到它。

如果你正在使用支付宝，这篇文章关乎你的每一次支付、每一次聊天，甚至每一次复制粘贴。

你是否想过，你在手机上的截图、复制的内容、连接的蓝牙设备，乃至通话状态，可能正被某个APP默默记录并上传？

这不是科幻电影。这是我在过去一个月对支付宝进行完整逆向工程后，从代码中直接提取的事实。

2026年3月18日，我以中华人民共和国公民身份，依据《个人信息保护法》第七十条，向中央网信办正式提交了举报。这不是冲动——这是在负责任披露被拒、技术文章被删、PoC被服务器封堵之后，一个中国公民依法行使权利的选择。

## 01 你的支付宝，是一栋可以被远程改造的房子

这可能是最颠覆认知的一点。

支付宝使用一种叫"PatchProxy"的技术。打个比方：开发商把精装修的房子交给你后，自己保留了一把万能钥匙。这把钥匙不仅能随时开你的门，还能在你不知情的情况下，把你家的锁给换掉。

技术细节：支付宝每个安全关键方法（权限检查、支付验证、签名校验）中都有一个`ChangeQuickRedirect`字段。蚂蚁集团的服务器可以通过它——不经过应用商店审核、不发布新版本、不通知用户——远程替换这些方法的执行逻辑。

你以为你在用A版本，实际上它可能已经被秘密升级到了B版本。

《个人信息保护法》第十四条："处理目的、处理方式等发生变更的，应当重新取得个人同意。"

## 02 22项行为监控：你的"手机秘密"可能只是"公开日记"

支付宝在启动后激活一个"贴身观察员"，记录你的操作并批量上传服务器。它在观察什么？

6 | 你截屏了
7 | 你开始录屏了
11 | 你正在打电话 / 挂断了电话
13 | 你刚刚复制了内容到剪贴板
8-10 | 你连接或断开了蓝牙设备
0-1 | 你什么时候看手机、什么时候锁屏
15-21 | 你在哪个页面、停留了多久

共22项事件，每10条批量上报服务器

更令人不安的是：代码里预留了一个远程开关（`OrangeConfig, key:132`），服务器随时可以决定开启或关闭这些监控。你无法知晓，也无法拒绝。

《个保法》第十七条要求"处理的个人信息种类"需"真实、准确、完整"告知。这些监控是否在隐私政策中逐项告知了你？

## 03 208项API拦截：远超支付所需的"监控天网"

支付宝通过内置的DexAOP框架（976个代理类），系统性拦截了208类系统API调用——据行业安全研究估计，主流支付APP的拦截范围约30-50类。支付宝是行业参考水平的4-6倍。

类别 | 数量 | 支付必须？
--- | --- | ---
蓝牙 | 17 | 否
电话/通信 | 17 | 否
通讯录 | 12 | 否
录音/摄像头/剪贴板 | 18 | 仅扫码需基础权限
加密操作 | 3 | 动机可疑
GPS/WiFi/传感器/NFC等 | 141 | 大部分非必须
合计 | 208 |

《个人信息保护法》第六条："收集个人信息应当限于实现处理目的的最小范围。"为实现支付功能，真的需要208项拦截吗？

## 04 97%内部接口"裸奔"，包括数字人民币钱包

扫描全部408个内部接口，396个（97.1%）的权限检查形同虚设。

"裸奔"的接口包括：6个支付类（含数字人民币钱包）、5个认证类（登录、身份验证）、3个NFC类（非接触式支付）、6个文件操作类。

数字人民币是中国人民银行发行的法定数字货币。其钱包接口在支付宝APP内缺乏应有的安全保护——这不仅是隐私问题，更是严肃的金融安全隐患。

## 05 举报与全球同步

基于以上事实，举报邮件已提交至以下机构：

中国境内

中央网信办APP治理专线 · 12321举报中心 · 网信办数据安全 · 北京/广东/深圳/江苏/浙江(属地)网信办 — 共8封

全球监管

新加坡PDPC(已立案) · 卢森堡CSSF([Case Ref Redacted]) · 香港金管局 · Apple安全团队 · 英国FCA · 欧盟EDPB + 5个欧盟DPA · 4个金融监管 · 4个CERT — 共20封

9个CVE已提交国际漏洞数据库 · Packet Storm Advisory #217089已发布 · 38个国家和地区的机构已回应

## 为什么必须公开

从2月16日开始分析到3月18日正式举报，这一个月经历了：负责任披露被拒("正常功能") → 发布4小时后收到律师函 → 4篇微信文章被全部删除 → PoC被服务器端封堵。

技术分析的结论，不会因为删帖和律师函而改变。

公开，是为了透明。将举报内容公之于众，是确保它不会被无声压下的最佳方式。公开，更是为了行使权利。《个人信息保护法》赋予了每个公民举报的权利。行使这项权利，光明正大，无需道歉。

你可以做什么？

1. 夺回你手机的控制权：立即检查「设置」→「隐私」→「权限管理」，审视支付宝的每一项权限，关闭所有你认为非必要的授权。

2. 让更多人看见：如果你认为10亿用户有权知道自己的隐私是如何被对待的，请将本文分享出去。你的每一次转发，都是在为个人信息安全投票。

3. 关注后续：关注公众号 AI-security-innora，我们将持续跟进监管反馈。

> 完整技术报告：https://innora.ai/zfb/privacy-analysis.html

> 全部分析代码：https://github.com/sgInnora/alipay-securityguard-analysis

关于作者

冯继强，中国公民，安全研究人员

联系：feng@innora.ai

免责声明：本文内容为作者基于公开可得的APK文件进行技术分析后的摘要，以及据此向国家监管机构提交的举报信内容。所有关于"涉嫌违规"的定性，最终解释权和判断权归国家权威部门所有。

本文永久地址：https://innora.ai/zfb/regulatory-complaint.html

↑