PG移动端安全实验室：通知与后台行为

通知与后台行为的术语范围

“通知”包括系统通知栏、锁屏提示、声音、角标和网页推送；“后台行为”包括刷新内容、维持网络、播放音频、定位、定时任务和重启后自启动。悬浮窗、辅助功能、通知读取和设备管理属于更广的特殊访问，不能混作普通通知。先准确命名，才知道在哪个系统页面撤销。

页面在浏览器关闭后仍能收到推送，可能是站点通知权限；应用离开前台后耗电，可能是媒体播放、下载、定位或系统统计延迟。一次现象不能直接定位原因。记录触发动作、进入后台时间、通知到达时间、网络与电量变化，并用强制停止作为对照，比“感觉一直在跑”更有信息量。

本页不指导开启通知，也不以提醒频繁程度评价内容价值。默认原则是阅读公开说明不需要高权限；通知应独立选择，可随时撤销，不应与联系人、短信、辅助功能或设备管理捆绑。拒绝通知导致页面无法退出或反复弹窗时，停止使用而不是屈服。

通知来源追踪应从系统长按信息开始，而不是点击通知。系统通常能显示发送应用或浏览器；浏览器通知还需进入站点许可查具体域名。消息正文里的品牌、头像和按钮都可由发送者控制，不能作为身份依据。若通知已经消失，可查系统通知历史，但只有设备本身开启该功能时才可能保留；不要安装未知历史读取应用。

通知类别可以独立开关时，读者可只保留真正需要的系统信息，而关闭推广与声音；但类别名称由应用定义，不能保证实际内容始终符合名称。观察一段时间后发现类别被混用，就全部关闭并记录。任何通知以奖励、惩罚或倒计时催促立即返回，都不应成为测试理由；不点击即可完成风险处置。

后台行为可以通过一条有时间边界的任务观察。用户在前台关闭所有提醒后，把应用切到后台十五分钟，期间锁屏并从无线切到蜂窝；返回时记录是否出现通知、前台服务图标、重新加载或异常耗电。随后从最近任务划掉，再观察系统统计中是否仍有活动。不同系统的电池策略会改变结果，因此要写明版本和是否允许后台运行。若页面只是浏览器快捷方式，还需检查通知属于哪个站点和哪个浏览器。任何在未触发功能时要求通知读取、无障碍或忽略全部电池优化的请求，都应单独审查而非视为保持在线的必然代价。

记录时把用户主动刷新产生的活动与无操作后台活动分开。若两者混在同一时间窗，重新做一轮静置测试，避免把前台请求错误归为后台常驻。

公开资料能够证明什么

英国赌博委员会面向公众的非法经营识别指引属于大不列颠监管语境，适合支持核对主体、域名和公开登记信息的方法。^来源1 它没有描述Android或iOS后台任务，也不能把某个通知来源判为合法或非法。经营资格与设备权限须分两条证据链，不能因一条可核对就跳过另一条。

PG SOFT公开主页展示其站点导航、公司栏目、游戏入口与联系信息，可作为查看日的主体参照。^来源2 主页没有给出第三方移动应用的通知权限、后台频率、网络主机或耗电数据，也不能证明相似图标的推送来自该主体。通知中出现品牌名只是一段可复制文字。

真正能证明后台现象的是设备设置与受控观察：哪个应用或站点拥有权限，系统在什么时段归因耗电和流量，强制停止后是否仍发生，重启后是否自动恢复。即便如此，普通界面通常看不到代码目的与服务器内容，所以结论仍是行为层，而非完整安全审计。

后台状态至少区分屏幕关闭、切换到其他应用、浏览器标签未关闭、进程被强制停止和设备重启。某行为只在标签仍开时发生，与重启后自动恢复的意义不同。每次测试只改变一个状态，记录时间与网络；否则无法知道是网页推送、应用任务还是系统服务。测试期间不输入真实资料，也不保持可疑内容长时间活动。

后台决策表可列通知、网络、定位、音频、前台服务和自启动六项。通知需有用户订阅和可单独关闭的频道；后台网络应说明用途与频率；位置若仅在前台功能需要，不应扩展到始终允许；音频离开页面后继续播放要有清晰控制；前台服务应有持续可见提示；自启动则需与恢复任务相称。表中记录默认状态、用户选择、系统撤销路径和拒绝后影响。若关闭一项后核心浏览仍正常，说明它不是基础要求。不要把“及时体验”当成所有后台活动的统一解释，每一项都要对应具体功能。

对照表：信号、风险与行动

低风险可控信号是系统明确显示通知来源、权限可单独关闭、拒绝后核心公开内容仍可读。需关注的信号包括关闭后很快自行恢复、通知跳向不同域名、夜间频繁唤醒、后台用量与所述功能不相称。立即停止信号包括要求辅助功能读取屏幕、设备管理阻止卸载或用倒计时迫使授权。

行动应先最小化：关闭单个站点或应用通知，限制后台数据与刷新，强制停止后观察一个固定时段。不要一次关闭所有系统服务，否则无法归因，也可能影响重要提醒。若通知来自浏览器，进入站点权限逐项撤销；若来自应用，检查通知类别和特殊访问，不点击消息内链接来确认身份。

在英国委员会资料适用范围内，页面自称的经营主体与域名应可通过相应公开信息核对；不能对应时，只记录主体关系未确认。^来源3 这不替代后台检查。即使登记一致，仍可关闭不需要的通知；即使通知克制，也不能由此判断第三方资格。两类风险分别处置。

定时通知不一定意味着应用此刻联网，消息可能由系统预先安排；反过来，没有通知也不代表无后台连接。应把通知到达、系统用量、耗电归因和进程状态并列。强制停止后仍有同品牌消息时，先查浏览器站点与其他同名应用，不直接认定系统控制失效。只有系统显示的发送来源能缩小下一步。

后台耗电排名受设备使用习惯影响。应用位于榜首可能只是其他应用都未使用，百分比也不等于绝对电量。记录测试时长、屏幕开启和实际电量变化，再与空闲基线比较。系统标记“后台活动”是有价值信号，却不解释活动目的。需要判断网络时结合单独数据用量，不从耗电图推断传输内容。

异常耗电或通知不断时，先从系统电池与通知历史确定时间和来源。若浏览器承载多个站点，检查具体站点授权；若应用有多个通知频道，逐个关闭而不是屏蔽系统全部通知。后台网络持续可先限制该应用并观察前台功能，记录影响。划掉任务仍活动可能来自前台服务、计划任务或推送，并非直接证明恶意；需要结合可见提示和权限。若停止活动必须安装清理器、开启设备管理或关闭系统保护，应拒绝。排障结束后恢复原本无关的系统设置，避免为一个应用改变整机后台策略。

三个情境化检查示例

情境一：读者浏览一次页面后每天收到推送。先长按通知查看发送来源，不点击正文；若显示浏览器站点，进入该站点权限撤销。记录授权日期若无法回忆，就写未知。撤销后观察固定时段，无新通知只能说明该时段未再发生，不能保证站点以后不会换域发送。

情境二：应用切到后台后音频继续且流量增长。先在应用内停止媒体，再回到系统设置关闭后台数据并强制停止。若音频立即停止、流量稳定，可记录与该进程时间相关；若仍继续，检查浏览器、画中画与其他媒体来源，不立即断言应用绕过系统。

情境三：通知自称来自PG SOFT并要求“立即更新”。不要点通知链接。通过独立保存的公开主页核对是否有相应信息，只把主页作为其自有站点参照；第三方更新关系没有公开连接就维持未确认。若链接要求侧载或关闭保护，删除通知并检查“伪装安装包识别”。

三个例子都避免用真实账户或私人资料测试。通知内容可能伪造，系统显示来源比图标可靠，但仍需主体关系。后台指标也有延迟，应留足观察窗并记录系统版本。验证需要长期运行可疑对象时，安全收益已经不足，应停止而非追求完美因果。

重启后自动出现图标或通知时，检查是否为浏览器恢复标签、系统备份还原、网页快捷方式或应用自启动。每种来源的清理位置不同。不要在设备重启过程中反复卸载或修改配置，先等系统完成更新与同步，再记录稳定状态。若特殊访问自动恢复且来源不明，停止自行处理并使用可信系统支持。

重启设备后的行为是后台审查的独立场景。记录重启前应用是否处于前台、通知是否开启和用户是否主动登录；重启后不要先点图标，观察是否自动出现通知、网络活动或前台服务。若系统启动项列表可见，核对应用是否获得自启动权限以及是谁开启。某些推送由系统服务接收，少量活动不等于应用完整运行，因此需结合进程与可见提示谨慎描述。若应用在用户明确关闭提醒后重启又恢复默认频道，应记录设置持久性问题。测试结束撤销本次自启动或特殊访问，不修改其他应用的启动策略。将冷启动、后台切换和系统重启分开，能够避免用一次划掉任务的结果概括所有持续行为，也让用户知道在哪个系统入口真正停止相关活动。

结论、限制与后续更新

结论分为权限状态、触发时序、系统归因和主体关系。可写“站点通知已获准，撤销后四十八小时未再观察到”，不能写“永久清除”；可写“后台用量在播放时增加”，不能无网络内容证据写“上传个人资料”。精确措辞保护读者免受夸大，也便于以后复查。

本页来源不提供任何应用后台日志。英国委员会资料只支持特定辖区主体与域名检查，PG SOFT主页只作该站公开参照。系统统计存在归因延迟，厂商界面不同，应用更新也可能新增通知类别或特殊访问。每次更新后应重新检查，而非沿用旧截图。

后续修订记录系统版本、应用或浏览器版本、权限类别、观察时间和具体变化。出现卸载后通知或特殊访问残留，转到“卸载和残留清理”；网络持续增长看“网络与数据用量”。无法撤销设备管理、辅助功能或用户证书时，停止自行操作，使用系统或设备制造商可信支持。

公开记录后台问题时，不应附完整通知正文中的姓名、金额、联系方式或深层链接。用中性摘要描述诱导类型，并保留发送来源、时间和权限状态。修订后若行为消失，写“在新版本与所列观察窗未复现”，不宣布永久修复。更新可能改变任务调度，因此每个版本建立独立时间线，避免旧异常自动套到新版本。

如果应用提供多个通知类别，更新后类别可能被重命名或重新默认开启。每次更新后比较系统设置与先前选择，不假定旧偏好自动保留。后台限制也可能被省电模式临时改变，测试报告注明电池优化状态。任何为恢复通知而要求取消全局省电、允许自启动和辅助功能的组合，都需要逐项必要性解释；没有就拒绝。

观察窗口结束后恢复原有省电与网络设置，并记下改动，避免测试本身留下长期后台许可。若无法确认设置原值，不继续批量调整其他系统选项。

复核清单包含前台结束时间、后台持续时长、锁屏与网络切换、通知频道、系统电池统计、数据用量、特殊访问和最终撤销结果。常见问题是“没有通知就代表没有后台活动吗”；网络或计划任务可能无通知，需看系统记录。另一个问题是“关闭电池优化后恢复连接是否说明应该长期关闭”；只证明策略影响了行为，还要评估必要性与耗电代价。报告要区分系统允许、应用请求和用户主动开启三种来源。版本升级后若默认频道或后台频率改变，应作为新行为记录，不沿用旧版授权结论。

如果用户只想暂停而非卸载，应给出从轻到重的控制顺序：关闭特定通知频道、限制后台数据、恢复默认电池策略、强制停止，并观察影响。不同系统名称会变化，记录实际菜单。不要建议关闭全机推送或删除其他应用配置来解决单一路线问题。

后台静置数据不混入用户刷新、前台切换或系统同步事件。