国家计算机病毒应急处理中心检测违规 App 完整流程
它依托移动互联网应用安全监测平台，分为自动化批量初筛 + 真机人工深度测试 + 取证判定，依据《App 违法违规收集使用个人信息行为认定方法》判定违规，App、小程序都适用国家计算机...。
一、样本采集：抓取各大应用商店、小程序平台样本
- 自动爬虫持续采集国内主流安卓应用商店、小程序平台上架应用，下载安装包，建立样本库；
- 结合公众举报线索、专项行动清单，定向挑选重点 App / 小程序进入检测队列。
二、静态代码扫描（不运行 App）
直接反编译解析 App 安装包、内嵌 SDK 代码：
- 读取 App 权限申请清单，提前看是否声明通讯录、位置、短信、相册等敏感权限；
- 查找隐私政策文本，检查内容是否缺失（收集目的、范围、第三方共享规则、账号注销说明）；
- 识别内嵌第三方 SDK，检查 SDK 是否预埋采集个人信息代码。
静态扫描只能发现潜在风险，不能直接定性违规，必须结合动态运行验证。
三、动态行为检测（真机 / 沙箱运行，核心环节）
在隔离测试手机、沙箱环境安装 App，模拟真实用户操作，全程监控：
- 权限索取行为监测：记录 App 在哪个页面、哪个操作节点申请权限。比如 App 一打开就索要通讯录，而该功能完全不需要，判定超范围索权；
- 网络流量抓包：拦截 App 对外传输数据，看是否在用户未同意情况下，偷偷上传手机号、位置、设备信息、相册 / 通讯录内容；同时监测是否私自把数据传给第三方 SDK；
- 界面交互录制：录屏记录首次启动弹窗，判断：
- 是否没有弹窗提示隐私政策
- 是否默认勾选 “同意隐私政策”
- 隐私政策链接是否隐藏、打不开
- 账号权利测试：实测账号注销入口，检查注销流程是否设置障碍、能不能删除个人信息。
四、人工复核取证（关键，自动化不能替代）
自动化筛出来的可疑样本，安全工程师人工复测：
- 复现违规场景，截图、录屏、流量日志固定证据；
- 对照法规逐条核验，确认是否符合通报里的违规类型；
- 小程序单独在微信 / 支付宝环境真机测试，小程序检测逻辑和 App 一致。
五、审核确认，形成通报清单
全部证据材料复核完成后，确定违规清单，对外发布通报，同步通知应用平台与运营单位，要求限期整改。整改不合格会推动下架处置。
补充说明
- 检测环境是隔离测试环境，不会使用真实个人信息；
- 检测重点不只 App 本身，App 内置第三方 SDK是违规高发点，也一并纳入检测；
- 这是公安部技术支撑单位开展的监督抽检，不是所有 App 全量检测，属于常态化专项监测
