拼多多删了你的照片，谷歌删了拼多多

2023 年 3 月，一则消息在中文互联网上炸开：有报道和安全研究指出，拼多多 App 存在越权行为，其中就包括删除用户相册里的照片。随后，谷歌以恶意软件为由，把拼多多从 Google Play 应用商店下架。

不管你对这家公司有什么看法，这件事里最值得记住的不是某一家 App 的名字，而是一个此前很少有人认真想过的问题：你手机里的照片，到底由谁说了算？

你以为照片存在你的手机里，就是你的。但一个 App 删了你的照片之后你才发现，"在我的手机里"和"由我说了算"，根本是两回事。

权限清单，就是能力清单

很多人对手机权限的理解停留在"设置项"：装 App 的时候弹出来一串权限，顺手点了允许，就过去了。很少有人停下来想一想，那串清单到底意味着什么。

它的意思其实很直白：你允许它看你的相册，它就有能力读你的照片；你给了它"全部文件访问"，它就有能力动你的文件。读、改、删——权限清单上的每一项，都对应着一种实实在在的技术能力。用户协议里的小字写得再委婉，也改变不了这个技术事实。

"我没点删除"不等于"没人能删"。能力在谁手里，谁就能动。你点没点过删除键，根本不重要；重要的是，有没有别的东西拿着删除的能力，站在你的照片旁边。

拼多多事件的可怕之处也正在这里。它不是一个孤立的八卦，而是一次公开的证明：权限清单就是能力清单，而能力一旦交出去，就不再由你控制它什么时候被使用。

你的相册，住着多少个"经手人"？

数一数你的手机：社交 App、购物 App、短视频 App、修图 App、云同步 App……有多少个拿着相册完全访问权限？每一个拿着权限的 App，都是你照片的一个潜在经手人。

你平时不会这么想。你会想：我用它修图，它当然要看相册；我用它发朋友圈，它当然要读照片。每一项授权单独看都有道理。但合起来看，你的相册住进了一群住户，每一个都有钥匙，每一个都能在你不注意的时候开门。

更微妙的是云相册同步。本地删了，云端跟着动；云端出了问题，本地也可能被同步回一个"新版本"。你以为云是备份，其实云是一条双向的传送带——动静可以从任何一头传到另一头。你在手机上删一张照片，云端可能也跟着没了；云端被动过手脚，本地也可能被覆盖。你以为自己在两处都留了底，实际上两处是同一条链上的两个环节。

"我设置了权限"不是答案。权限清单恰恰是能力清单——你设置过的每一项允许，都是你亲手发出去的一把钥匙。

熟悉的办法，为什么都兜不住

云相册、网盘、移动硬盘、NAS、银行保管箱、藏在家里——这些熟悉的办法，平时各有各的好，但对"不能被发现、不能被动"的东西来说，各有各的漏。

云相册和网盘的问题上面已经说了：同步是双向的，账号可能被改密码、被清空，删除之后还有没有残留不由你说了算。移动硬盘的问题是它仍然连着你的电脑和手机，插上去的那一刻，所有装着权限的 App 和系统服务又都站在它旁边了；而且硬盘会摔、会坏、会丢，放在家里也一样，谁翻得到、谁搬得走，都是问题。

NAS 听起来像"自己的云"，但它仍然联网、仍然要维护、仍然要靠账号和密码守门，家里网络的任何一个口子都可能成为它的口子。银行保管箱倒是离线，但它存的是实物、要本人到场、要走银行的流程，对数字资料来说并不顺手，而且箱子里的东西仍然是你自己在管，没有第三方见证的封存链条。

这些办法都有一个共同点：东西仍然处在"有人有能力动"的位置上。区别只在于动它的人是 App、是账号的另一个持有人，还是翻抽屉的人。只要能力还在别人手里，"不被发现"就只是对方今天还没动手的运气。

真正的保管，是结构上动不了

说到这里，保管的价值就清楚了。它不是"承诺不动"，承诺随时可以违背；它是"结构上动不了"。

离线介质没有权限清单，没有 App，没有后台。东西一旦离线封存，就没有任何程序能在你不知情的情况下读它、改它、删它。没有同步，没有远程擦除，没有"更新一下系统就顺便动了你的文件"。安静，就是它的全部本事。

但离线还不够。东西离了线，放在谁手里、用什么流程管着，同样重要。一个值得托付的保管，应该是这样的：东西先编号，一物一号，从此它有自己的身份；然后封条封存，封条一动就有痕迹；入库时双人核验，两个人同时在场、同时确认；入库拍照留底，封存时的样子被固定下来。之后每半年目检一次封条和外观、拍照记录，全程零接触——不打开、不读取、不触碰内容。需要更深入的检查，也必须由客户书面同意才做，绝不擅自升级。

这一套流程的意义，不在于技术有多高深——说到底，离线保管用不着什么高深技术，加密之类的手段只是注脚，真正起作用的是流程本身。它的意义在于：从东西交出去的那一刻起，就没有任何一方能单方面动它，链条的每一步都有记录、有见证。

别等到被删了，才想起"我的"是什么意思

拼多多事件已经过去一段时间了，舆论也平息了。但它留下的那个问题没有过去：你的手机里，有多少东西是你以为"在你手里"，其实早就把钥匙交给了别人？

检查一下你的手机权限，数一数拿着相册完全访问权限的 App。那个数字，就是你照片的经手人数量。然后再想一想：其中有没有一些东西，是你绝不希望被任何人看见、更不希望被任何人动过的？

如果有，别让它继续住在"别人有能力动"的地方。把它拿出来，交给一个没有权限清单、没有后台、也没有利害关系的第三方，用编号、封条、双人核验、专人保管的方式离线封存起来。

"我的东西"这四个字，不应该建立在别人的承诺上。它应该建立在一个简单的结构上：没有人有能力动它。