拼多多刪了你的照片，Google 刪了拼多多：你的照片到底是誰的？

2023 年 3 月，一則新聞讓很多人才第一次認真想起這件事：拼多多被公開報導刪除用戶相簿裡的照片，多家媒體與安全研究者指出它的 App 存在越權行為，其中就包括刪除照片。沒過多久，Google 以惡意軟體為由，把拼多多從 Google Play 下架。一個 App 刪了你的照片，另一個平台刪了這個 App，整件事像一句繞口令，但背後的問題一點都不好笑：照片明明存在你的手機裡，為什麼別人動得了？

多數人聽到這則新聞的第一反應是：那是別人的事，我又沒裝那個 App。但這正是這則新聞最值得留心的地方。它揭開的不是一家廠商的問題，而是一個結構：只要你給了一個 App「相簿完全存取」的權限，這個 App 在技術上就具備讀取、修改、刪除你照片的能力。權限清單寫上去的那一刻，能力就已經交出去了。

「在我的手機裡」不等於「由我說了算」

我們都習慣這樣想：手機是我的，照片存在我的手機裡，所以照片就是我的。但 2023 年 3 月的事件證明了這個想法的破口。使用者沒有點刪除，照片卻不見了。不是手機壞了，不是自己手滑，而是裝在手機裡的某個 App 動了手。

這裡有一個很關鍵的區分：你以為的「擁有」，和實際上的「控制權」，是兩回事。手機在你口袋裡，不代表手機裡的每一個東西都只聽你的話。每一個你裝進去的 App，都是一個潛在的經手人。你給它什麼權限，它就有什麼能力。你按下的那個「允許」，不是一句客套話，而是一張能力清單。

台灣人的手機使用習慣，讓這個問題更貼近日常。每次安裝新 App，系統跳出「允許存取所有照片」、「允許存取全部檔案」，大多數人看都不看就按允許。購物 App、修圖 App、社群 App、遊戲 App，一個一個裝進來，每個都拿著相簿的鑰匙。平常沒事的時候，你感覺不到它們的存在；但能力不會因為你沒感覺就消失，它只是靜靜地放在那裡，等著被使用。

權限清單，就是能力清單

很多人會說：我有設定權限啊，我有看過啊。但問題恰恰就在這裡。權限清單本身就是能力清單。「照片完全存取」這六個字，翻譯成白話就是：這個 App 可以看你的全部照片，也可以動你的全部照片。使用者協議裡的小字寫得再委婉，也改變不了這個技術事實。

更麻煩的是同步。手機相簿通常還連著雲端相簿。你以為刪掉的只是本地的一張，雲端跟著同步，另一台裝置跟著同步，一次動作就擴散到所有地方。反過來也一樣：某個 App 在本地動了一張照片，雲端以為你「更新」了，也跟著動。所謂的備份，在這種結構裡不是保險，而是連鎖反應的另一條鏈。

所以「我沒點刪除」這句話，在技術上是沒有意義的。重點從來不是你點了什麼，而是誰有能力動。能力在誰手裡，誰就能動。等到你發現照片不見了才去追究，那張照片已經不會回來了。

不是某一家的問題，是結構的問題

必須把話說準確：2023 年的事件，我們只陳述公開報導的事實。媒體報導了越權與刪照片的情形，Google 以惡意軟體為由做了下架的處置。至於廠商的動機，我們不下定論，也不必下定論。因為這件事真正可怕的地方，根本不在某一家廠商的動機。

可怕的地方在於，它證明了「權限等於能力」這件事是真的。任何一個裝在手機裡、拿著相簿完全存取權限的 App，都有同樣的能力結構。今天被報導的是這一家，明天換成另一家，結構還是一樣。你把不能被看見的東西，放在一個有能力動它的東西旁邊，風險就已經成立了，不管對方動不動手。

這也是為什麼「換一個比較可信的 App」不是答案。可信是一種承諾，而承諾是可以改變的。公司可以被收購、政策可以改寫、經營方向可以轉彎。你今天信任的對象，明天不一定還是同一個對象。但能力結構不會因為信任而改變：只要東西還放在那裡，能力就還在那裡。

不能被發現的東西，不能放在別人有能力動的地方

講到這裡，結論其實只有一句話：不能被發現的東西，不能放在「別人有能力動」的地方。不是放在「別人答應不動」的地方，而是放在「別人根本動不了」的地方。這兩者的差別，就是整個問題的核心。

雲端相簿、手機相簿、隨身碟插在電腦上、NAS 連著家裡網路、銀行保管箱要靠鑰匙與流程、藏在家裡要靠沒人翻到，這些熟悉的手段都有同一個弱點：東西還處在一個「有人、有系統、有程式」可以碰得到的位置。方便的代價，就是交出裁決權。你以為自己在保管，其實你只是在拜託一整串人與系統不要動手。

真正不同的做法，是把東西從這個結構裡拿出來。離線的介質沒有權限清單、沒有 App、沒有後台，沒有一個程式可以在半夜去動它。東西封存起來之後，平時沒有人去碰它；預設每半年目視檢查封條與外觀並拍照，全程零接觸；如果需要更進一步的檢查，也只在客戶書面同意的情況下才進行。沒有人有能力動，不是因為有人承諾不動，而是因為結構上根本動不了。

保管的價值，是「沒有人有能力動」

回過頭來看，拼多多事件給我們的最實在的教訓，不是「小心某一家 App」，而是「重新檢查你東西放的地方」。你的照片、你的資料、你那些不能被看見的東西，現在放在哪裡？那個地方，有多少人、有多少程式有能力去動它？你數過嗎？

多數人沒有數過。因為我們太習慣把方便當成安全。App 裝得越多、同步開得越完整，生活就越順手。但順手的另一面，是經手人越來越多。每一個經手人，都是一次「被看見」或「被動過」的可能。

保管的價值，恰恰就在這裡反過來：不是東西多方便拿，而是東西多確定沒人動過。把東西交付給值得托付的專業人士，用編號、封條、雙人核驗、專人保管的流程封存起來，東西就離開了那個「誰都有能力動」的世界。它不需要你的信任來維持，因為它不靠任何人的承諾在運作。

你的照片到底是誰的？答案不在手機的擁有權狀上，而在能力清單上。誰有能力動它，它在某種意義上就是誰的。把東西放到沒有能力清單的地方，答案才會重新變成你的。