当你从应用商店下载一款免费的二维码扫描应用时，你想的多半是方便。隐私大概是你最后才会考虑的事，但它本该排在第一位。
过去几年里，安全研究人员和隐私倡导者一再发现，热门的免费二维码扫描应用内置了大多数用户从未察觉的激进数据收集手段。本文将逐一拆解这些应用究竟收集了哪些数据、如何使用这些数据，以及你可以采取哪些措施保护自己。
答案因应用而异，但靠广告盈利的二维码扫描器最常采集的数据包括以下几类。
这是最敏感的数据，也是最常被忽视的一项。许多二维码扫描应用会记录你扫描的每一个码，并把解码后的内容发送到远程服务器。这些内容可能包括以二维码形式编码的 Wi-Fi 密码、私密会议室链接、就诊预约确认码、企业内部链接，或银行支付二维码。
当你在诊所扫描一个二维码，而这个网址被悄悄上传到分析服务器时，你就在无意中透露了与自己健康有关的信息。当你扫描支付二维码而相关数据被记录下来时，那就是一次金融信息的泄露。
许多二维码扫描应用会请求获取你的精确 GPS 位置。表面上的理由是“改善用户体验”，实际上却被用来构建地理行为画像：你去过哪里、在那些地方何时扫码、在不同地点分别遇到哪些类型的二维码。
即便没有位置权限，应用也能通过设备型号、屏幕分辨率、系统版本、已安装应用列表和广告标识符的组合，为你的设备生成一枚指纹。这枚指纹在应用重装后依然稳定，可用于跨多个服务追踪你。
大多数热门二维码扫描器都嵌入了第三方分析 SDK，常见的有 Firebase Analytics、Mixpanel、Amplitude、Adjust 或 AppsFlyer。这些 SDK 会记录你打开应用的频率、使用了哪些功能、每次使用时长，以及你与广告的互动方式。
有些扫描应用还会请求访问你的通讯录和存储空间。获得通讯录权限后，应用就能把你的身份与广告主数据库中的手机号和电子邮箱对应起来，你的用户画像价值随之大幅提升。
还有一些二维码扫描应用走得更远：它们在用来显示扫描网址的网页视图中植入追踪像素。当你扫描二维码、应用用内置浏览器打开目标页面时，它可以读取 Cookie、注入 JavaScript，并追踪你在目标网站上的行为——而你对此毫不知情。
2020 年，一款被广泛使用的二维码扫描应用在研究人员发现其含有可拦截浏览器流量的恶意程序后，被从 Google Play 商店下架。2021 年，隐私研究人员发现多款排名靠前的二维码扫描应用把扫描到的网址数据发送到数据保护法规薄弱地区的服务器。2022 年，有人发现一款热门扫描应用会读取用户剪贴板内容，从中获取密码和敏感文本。
真正保护隐私的二维码扫描应用具备以下特征：
QR Code Reader Without Ads 正是按照上述原则设计的。这款应用没有联网权限——它确实无法发起任何网络请求——这意味着从架构上就不可能把你的扫描数据发送到任何服务器。应用中没有广告 SDK，没有分析库，也没有追踪像素。
二维码解码引擎完全在你的设备上运行，使用的是成熟的开源库。当你扫描到一个包含网址的二维码时，应用会先把网址展示给你确认，之后才在默认浏览器中打开。
无需注册账号，没有注册页面。你的扫描记录只留在你自己的设备上。
准备好换用一款真正私密的二维码扫描应用了吗？免费下载 QR Code Reader Without Ads：
iPhone 和 iPad 同样可用：
如果你暂时还不想换应用，可以按以下方法评估当前扫描应用的隐私状况：
二维码无处不在——餐厅菜单、活动门票、支付终端、商品包装和医疗表单。你每扫一次码，都有可能透露自己身在何处、正在做什么。你选择的扫描应用，决定了这些信息究竟是保持私密，还是被悄悄拿去变现。
现在就换。立即下载 QR Code Reader Without Ads：
" }