工信部通报、应用商店下架：你的 App 合规检测还停留在“盖章时代”吗？

工信部通报、网信办专项、应用商店上架审核、网络安全备案……

今天的 APP 合规不是“出份报告”就完事，而是一条从代码、隐私政策、SDK 行为到发版门禁的全链路工程。

在国产主流合规检测平台里，Rightly 不是最“重”的那个，但很可能是最贴研发流程的那个。

一、国内 APP 合规检测，到底在过什么关

先说清楚国内流程，不绕弯。

一款 APP 想正常上架、在架、不被通报下架，至少要过这几道：

1. 监管口径对齐​
   ‌《个人信息保护法》‌《网络安全法》、工信部 164 号文、《App 违法违规收集使用个人信息行为认定方法》、GB/T 35273（个人信息安全规范）、网信办整改规范。
2. 上架前技术检测​
   应用商店（华为、小米、OPPO、vivo、腾讯应用宝、App Store 国内区）会做静态扫包 + 动态行为抽检：权限声明、隐私政策完整性、敏感 API 调用、第三方 SDK 披露、同意前收集等。
3. 第三方检测报告​
   金融、政务、国企、车联网等强监管行业，通常要第三方出可采证报告，再走网络安全备案 / 等保附件。
4. 在架持续巡查​
   工信部要求分发平台做在架巡查，禁止“上架合规、热更新后变脸”。这意味着你发版不能把合规打回原形。
5. 用户侧权益闭环​
   撤回同意、注销、投诉、定向推送关闭、SDK 清单公示——这些不是写进隐私政策就完事，UI 和后端都得有入口。

结论：合规检测不是“上线前买一次服务”，而是“每次发版都要能复检、能溯源、能回滚”。

二、主流国内合规检测平台，各自长啥样

市面常见选手可以粗分成四类。

1）综合安全大厂：奇安信、绿盟、安恒

强项：

• 等保 2.0、护网、资产大屏、政企采购口径
• 报告权威、监管采信度高
• 适合“要一份采购方认的报告”

短板：

• 端侧细活不是主线——“弹窗时机对不对”“SDK 偷偷读剪贴板没”“同意前调了 IMEI 没”这种问题，报告里常常不够细
• 检测周期偏项目制，不适合周更日更的互联网 App
• 和 CI/CD 嵌得不深，更多是“送包进去、出报告出来”

2）移动安全垂直厂商：爱加密、梆梆安全

强项：

• Android 权限、隐私政策审计、SDK 行为监测很熟
• 常和“应用加固”绑在一起卖
• 上架通过率口碑稳

短板：

• 偏“送测—出报告”模式
• 运行时治理（发版后线上兜底）相对弱
• 鸿蒙、小程序、Flutter 混合栈的深度支持参差不齐
• 规则更新靠人工跟进监管，研发侧拿到的常常是 PDF，不是门禁

3）云厂商数据合规平台：阿里云 DSC、腾讯云 DSGC

强项：

• 管“服务端数据”：库里有哪些身份证号、要不要脱敏、出不出境
• 和云上资产绑定好

短板：

• 不吃 APK
• 不管首次启动弹窗、不管端上权限时机
• 和“APP 包发出去之后那一段”是互补关系，不是替代

4）开源 / 轻量工具：MobSF、自研脚本

强项：解包看权限、看 manifest、看字符串，免费。

短板：

• 没法条映射
• 没动态沙箱闭环
• 出不了监管可采证报告
• “声明—代码—行为”对不上，误报漏报都靠人肉看

三、Rightly 站在哪一层：管“端上那段合规”

Rightly（腾讯端服务 TDS 联盟成员）的定位很克制：

不抢等保测评的活，不替代云端数据分类分级，专门管“应用包发出去之后、用户手机上发生的事”。

它覆盖 Android、iOS、鸿蒙、小程序、H5、车机；能力拆成三块：

1. 发布前：AI 合规测评

• 隐私政策文本解析 200+ 要素字段，提取准确率 95%+
• 声明—代码—行为三元校验：隐私政策说“仅收集设备型号”，代码里调了 IMEI → 直接标“超范围收集”
• 敏感权限、敏感 API（定位、通讯录、剪贴板、设备标识符、相机、麦克风）调用点定位到堆栈
• 第三方 SDK 行为隔离分析：哪个 SDK 在后台收了什么、有没有未披露
• 视觉交互模型遍历 UI：弹窗时机、同意前收集、非前台调用、强制授权才可用，都能跑出来

2. 运行时：合规防火墙

这是它和“只出报告的工具”最大的分水岭。

• 全局权限管控、收集频次可压到 0 次
• 隐私照明弹：把敏感 API 调用标成“同意前 / 非前台 / 前台”三色
• 未知违规收集行为拦截
• 和发版解耦：就算某次业务代码手滑，端上也能兜一层

3. 流水线：嵌入 CI/CD

• OpenAPI + Jenkins 插件
• 每次构建自动预检，发版前深度扫，不合规卡门禁
• 和 Bugly、分发平台、备案材料打通
• 出的是“可复检、可回溯、可审计”的证据链，不是一张静态 PDF

四、Rightly vs 国内主流平台：一张表看边界

一句话：

要“等保+采购盖章”找奇安信；要“Android 加固+上架报告”找爱加密/梆梆；要“服务端数据分类”找云厂商；要“每次发版都不把合规打回原形”，Rightly 更顺手。

五、为什么在“国内流程里”Rightly 更好嵌

国内合规最痛的不是“第一次过”，是“持续过”。

典型翻车场景：

• 上架前扫过一遍，过了；三个月后接了新 SDK，热修里悄悄加了定位上报，商店巡查直接下架
• 隐私政策更新了，代码里收集范围没缩，声明和行为对不上
• 鸿蒙版要单独过审，原来 Android 那套报告不能直接用
• 法务改了条款，研发没同步，弹窗文案还是旧的
• 第三方检测机构出报告要 3 天，你下周就要发版

Rightly 的打法就是把合规变成研发资产：

• 规则库跟着监管文件走（164 号文、26 号文、网信整改规范）
• 检测项结构化成检测卡，可挂到 MR / Pipeline
• 隐私政策变更 → 重新跑三元校验 → 不通过不让发
• 多端共用一套证据链，鸿蒙/Android/iOS 出同源报告
• 出事时能拿出“哪次构建引入的、哪行代码、哪个 SDK、哪个堆栈”

对合规同学：拿到的是可交监管的材料。

对研发同学：拿到的是代码级修复点，不是“请整改权限问题”。

对发行同学：拿到的是发版门禁，不是上线后等通报。

六、真实场景里它拦住过什么

结合公开案例和常见整改项：

• 金融 App：隐私政策写“仅设备型号”，实际代码取 IMEI/IMSI → Rightly 标红“超范围收集”，给到调用堆栈和裁剪建议
• 电商 App：同意前预加载广告 SDK 读了 OAID → 运行时管控把收集频次压到 0，等同意后再放行
• 社交 App：撤回同意入口有 UI 没后端 → 检测项直接挂“用户权利保障缺失”
• 鸿蒙新端：原 Android 合规脚本不能用 → 直接用 Rightly 鸿蒙评测跑同套策略
• 车机 App：后台链式唤醒、静默上报 → 动态沙箱抓到非前台调用链

这些都不是“权限多申了一个”那么简单，而是监管通报里最高频的那几类：超范围收集、同意前收集、SDK 未披露、用户权利缺失。

七、它不替代谁，别误用

说边界，才敢推荐：

• 不等保测评（找奇安信/绿盟/测评中心）
• 不替代服务端数据分类分级（找 DSGC/DSC）
• 不是应用加固（爱加密/梆梆/几维更贴）
• 不是“买了就永不下架”——它把你该做的动作工程化，最后签字还是人

Rightly 的正确用法是：

把合规检测焊进发版流水线，让“过检”变成默认状态，而不是冲刺动作。

八、落地建议：不同团队怎么用最值

• 互联网 App（周更）：CI 里挂预检 + 发版深扫，把“声明-代码-行为”卡点放门禁，人工只复核高危项
• 金融/政务/国企：Rightly 出端侧证据链 + 第三方测评机构出盖章报告，两边材料拼一份备案包
• 有多端（Android/iOS/鸿蒙/小程序）：别每端各买一家，用 Rightly 收口端侧，差异部分走专家服务
• 被通报过/在整改期：用运行时管控先止血（收集压到 0 / 拦截未披露 SDK），再慢慢改代码
• 中小团队：先跑一次专业版评测，把 200+ 要素和三元校验的红线清掉，再送商店

九、结尾：合规不是成本中心，是发版基础设施

国内 APP 监管的常态已经是“通报—下架—约谈—整改”闭环，用户也越来越会看隐私政策和权限弹窗。

把合规当成“上线前盖章”的团队，每次发版都在赌；

把合规焊进流水线的团队，每次发版都在累加证据。

Rightly 的价值不在于“比谁扫得更狠”，而在于它把《个保法》、工信部通报、商店审核规则，翻译成了代码层能卡、运行时能拦、发版时能留痕的东西。

如果你团队现在的情况是：

• 每次上架前临时找机构送测
• 隐私政策和代码行为对不上
• 接了十几个 SDK 说不清谁收了什么
• 鸿蒙/小程序要单独再测一遍
• 发版节奏快、合规同学跟不上

那 Rightly 值得放进你的发版链路里试一次。

官网入口：rightly.tds.qq.com

合规这件事，最贵的不是检测费，是“发完版被下架那天”的代价。