PG移动端安全实验室：隐私数据导出

隐私数据导出要解决的具体问题

一次可复核的导出至少要回答五件事：谁在处理资料、导出包含哪些类别、时间跨度到哪一天、哪些字段被排除、文件如何安全送达。只写“全部数据”并不足够，因为设备诊断、偏好设置、联系记录与浏览记录可能由不同主体分别保管，单一文件未必覆盖所有来源。

读者还要先确定目的。若只是查看某项设置是否被记录，要求一份范围很窄的清单通常比索取所有历史资料更稳妥；若目的是迁移，则需关注字段名称、字符编码、时区和附件关联；若目的是纠错，则应保留原值、请求日期与更正后的值，避免新文件覆盖争议证据。

导出过程本身也会新增风险。文件可能集中包含设备型号、网络地址、时间线和联系信息，一旦被转发到共享邮箱、公共网盘或多人设备，原本分散的数据会变成单点泄露。安全做法是先准备仅本人可访问的存放位置，完成核对后再按实际需要保留，而不是长期放在下载目录。

“可以导出”不等于“导出完整”，也不等于接收者已获得删除或更正权。完整性必须靠字段说明、缺失项目解释和日期范围来判断；权利与处理期限则取决于实际数据主体、适用地区及其公开政策。本页不替任何主体作法律结论，只提供一套辨认证据缺口的方法。

隐私数据导出应先明确请求范围和接收设备。假设用户准备换机，只需要账号活动与设置记录，却在导出页看到“全部资料”按钮；应先查看是否能按日期、类型和格式选择，避免把不必要的通信或标识带入文件。请求从受控账号页发起，记录提交时间、预计完成方式和通知渠道，不通过私人客服收取压缩包。下载前确认链接域、有效期与是否需要重新验证，下载后在可信设备计算摘要并离线保存。共享电脑或公共网络不适合处理导出文件，因为浏览器下载记录、临时文件和解压内容可能长期残留。

若法律或组织政策要求保留数据，删除计划应服从明确义务并记录授权人。普通编辑不自行决定延长保存，更不能把私人导出包当作长期测试素材。

• 先写清目的：查阅、迁移、纠错或留存争议证据。
• 把数据类别拆开：身份资料、设备信息、偏好、联系记录与活动时间线。
• 指定截止日期、时区和希望采用的机器可读格式。
• 交付前确认接收位置不与他人共用，并预先设定删除日期。

先确认哪些公开事实

第一层事实来自被询问主体自己公开的页面，但只能证明该页面在查看时展示了什么。PG SOFT主页的联系表单说明，提交询问时会收集联系资料及为回复所需的其他信息；这能支持“该表单会处理输入资料”这一窄结论，却不能证明任何第三方页面与其属于同一主体，也不能推断第三方拥有相同的导出机制。^来源1

第二层是通用的移动安全风险框架。OWASP Mobile Top 10 2024把隐私控制不足、不安全数据存储和不安全通信列为不同风险类别。这提示读者分别检查“是否应收集”“保存在何处”“如何传送”，而不能仅凭传输页面出现锁形图标，就认定导出文件的内容、存储与后续处置都安全。^来源2

公开事实还应带观察日期。页面页脚年份、文件内生成日期、网页最后修订日期属于不同概念：页脚可能自动变化，文件生成时间只说明制作时点，修订日期才可能与内容变更有关。记录时应写成“于某日查看，页面显示某字段”，不要把观察日冒充发布日。

若页面只列出品牌、产品名称或联系入口，它并不能证明某个具体域名、移动页面或来历不明的文件由该品牌直接提供。主体认定至少需要域名、页面版权主体、隐私政策中的控制者名称和可独立访问的联系资料相互吻合。任何一项缺失，都应保留“未核实”状态。

导出检查表可包含范围、格式、字段说明、时间边界、加密、传递方式和删除计划。机器可读格式便于检索，但需有字段字典；可视文档便于阅读，却可能省略结构；媒体应保持原时间和类型；压缩包若有密码，密码不能与文件通过同一渠道发送。表中逐项确认是否包含第三方资料、设备标识、登录历史和已删除记录，并记录缺失字段。链接到期与服务端删除是不同动作，不能混写。若页面要求安装专用阅读器，先核验其来源，优先使用标准格式。导出内容最小化和保存期限应在下载前确定，而不是文件落地后才临时决定。

逐项核验：证据、日期与主体

从建立证据表开始。第一列写原始网址，第二列写页面自称的主体，第三列记录查看日期与页面标示日期，第四列摘录与导出直接相关的短句，第五列写这一短句不能证明什么。这样做能迫使结论保持在原文边界内，也便于日后发现页面变化时重新比较。

接着核对请求的接收方。不要从转发消息中的按钮进入，而应自行输入已核实的域名，再从站内公开政策找到对应入口。比较收件域、网页域、隐私政策主体和回复签名；若回复要求把身份证明发送到另一个无关联域名，不继续提交，并记录不一致之处。

身份核对应遵守最小披露。接收方若要求证明身份，应先解释所需字段、遮盖规则、保存期限和安全渠道。可以证明请求权属的资料不代表必须提交整张证件；在缺少用途说明时增加敏感字段，只会扩大风险，不能提升导出内容的可信度。

收到文件后，先在隔离的副本上检查目录结构、文件格式、生成时间、时区、字段字典和空值含义。随机抽取几个本人已知的日期或设置进行对照，但不要为了“测试”而向文件中加入真实敏感资料。抽样一致只能提高可信度，不能证明未抽取部分完全无误。

最后检查交付后的控制：链接是否有合理有效期，文件是否被额外加密，解密信息是否通过同一通道发送，是否说明副本保留与删除安排。若所有信息都挤在一封可转发邮件中，即使文件内容正确，交付方式仍可能构成独立风险。风险分类应分别写，不用一个“通过”掩盖其余缺口。

文件格式会影响复核能力。CSV适合逐行比较，但可能把前导零、长数字或换行字段误作普通数值；JSON能保留嵌套关系，却需要字段说明才能理解空数组与缺失字段的区别；PDF便于阅读，却往往不适合迁移或全量筛选。接收前应让提供方说明格式选择、字符编码、时区以及附件如何对应主记录。打开后若出现乱码，不要自行修改原件，应复制一份工作副本，在记录转换方式后再处理。

完整性检查可以使用文件清单、各文件大小、行数与生成说明，不需要公开任何内容值。若压缩文件内有多个同名目录，应确认它们代表不同日期、不同类别还是重复导出；若清单写有附件但实际缺失，记录缺失名称和目录位置即可。不要把原件重新保存后再与清单比较，因为办公程序可能改变编码、日期或字段格式，使原始状态难以复核。

对需要遮盖的资料，先保留受控原件，再从副本移除无关字段。仅把文字涂成黑色但底层仍可复制，并不是真正遮盖；导出为图片也可能保留元数据。分享前重新打开最终副本，尝试复制被遮盖区域，并检查文件属性。完成沟通后分别评估原件、工作副本、预览缓存和同步位置，不要只删除眼前一个文件。

导出说明若同时提供多种语言，应确认字段名称与含义是否一致，特别是“删除”“停用”“历史记录”等容易混淆的词。翻译冲突时保留原文名称，并向实际处理主体询问，不用自己的译法改变请求范围。

导出迟迟未到时，先检查请求状态、邮箱过滤、账号地区和服务公告，不重复提交多个重叠任务。文件无法解压，核对摘要、下载是否完整、密码字符和工具兼容，不上传到未知在线解压站。字段乱码时保留原文件，复制一份测试编码；时间错位则确认时区和夏令时。若导出范围明显缺项，用具体字段和日期提交纠错，不把含私人内容的整包附给普通工单。链接跳到陌生存储域时，回到账号页重新进入并核对责任说明。任何要求提供密码或一次性验证码来“释放导出”的消息都应拒绝。

常见误判与反例

常见误判之一是把文件体积当成完整性指标。一个很大的文件可能充满重复日志或缩略图，却缺少关键字段；一个较小的结构化文件反而可能完整呈现所请求范围。应比较类别、时间跨度和字段说明，而不是比较兆字节数。

第二个误区是看到“已加密”便停止询问。若密码与文件放在同一消息里，或者解密后副本自动留在多人设备的临时目录，加密只保护了部分传输阶段。反例是：链接有时效、密钥经独立通道提供、解压位置由本人控制，并且能确认临时副本如何清理。

第三个误区是把品牌视觉当成主体证明。相同图标、色彩和名称可以被复制，真正有区分力的是可追溯域名、政策文本中的实体、持续一致的联系信息以及页面之间的相互指向。OWASP所列供应链、隐私控制与数据存储风险也说明，外观相似不能替代来源和处理链核对。^来源3

还有一种反例是时间冲突：网页写“即时生成”，文件却在请求前数日创建；回复称覆盖一年，最早记录却只有三个月。冲突未必证明恶意，可能是时区、归档规则或字段过滤造成，但在得到可验证解释前，结论只能写成“范围尚未证实”。

截图同样不能单独证明全过程。截图可能漏掉地址栏、日期和滚动区域，也无法说明页面后来是否改变。较稳妥的记录应同时保留完整网址、观察时间、相关文字及文件元数据摘要；涉及个人资料的画面要先遮盖，再用于纠错沟通。

导出文件还需要做内容抽样而非全部展开。可从每种数据类型选择一个不敏感时间段，核对字段含义、时区、编码和记录数量，再与账号界面的同一时间段比对。若压缩包含多个清单，先阅读目录，不运行其中的脚本或可执行文件；标准数据导出一般不应要求启用宏或安装未知查看器。媒体文件的元数据可能包含位置和设备信息，分享样本前需移除。若记录涉及其他人的通信或标识，测试和纠错都应采用最小片段。抽样发现缺项时保留原包摘要，另建问题清单，不编辑原文件后再当作原始证据。通过目录、抽样和界面对照，可以在不扩大隐私暴露的情况下评价可读性与覆盖范围，也让后续补充导出有精确目标。

读者可复核的结论清单

可以形成肯定结论的范围很窄：某一公开页面在某日说明了某种资料处理；某一导出文件在指定时间生成，并包含可列举的字段；抽样记录与本人掌握的事实一致。每个结论都应能指向一条原始证据，不能把三个窄结论合成“所有资料都安全且完整”。

需要标为未核实的情形包括：主体名称只出现在图像中、域名关系没有独立说明、文件缺少范围或时区、交付链接来自陌生域、敏感字段用途不明、删除安排不可查。未核实不是对真假的最终判断，而是提醒读者暂不扩大披露或继续转发。

复核完成后，应制作一份不含敏感内容的摘要，记录请求目的、接收主体、日期、文件格式、已验证项目、冲突点和后续处理。原始文件与公开摘要分开保存；如无继续保留的明确理由，按预先设定的期限删除本地副本，并检查回收位置与同步副本。

本页方法不评估任何具体服务在某地区的许可状态，也不保证导出请求一定获得答复。它能做的是把“来源、范围、时间、交付、留存”五类问题拆开，让读者知道哪些事实已有证据、哪些问题仍需由真正的数据处理主体解释。

复核包包括请求入口、范围选项、提交与完成时间、通知方式、下载域、文件摘要、格式、字段清单、加密状态和计划删除日。常见问题是“导出成功是否表示所有数据都在里面”；需要与字段说明及账号界面对照，不能自动推定完整。另一个问题是“可否把文件发给技术人员检查”；先提取最小化、脱敏样本，除非有明确授权和安全通道，不发送整包。完成迁移后验证目标资料，再从下载目录、临时解压位置和云同步中清除多余副本。结论应列已覆盖、缺失和无法判断三类字段，使后续补充请求有精确范围。

导出任务结束后记录副本位置和责任人，只保留业务确需的最少一份。若文件进入自动云备份，应确认该位置的访问控制与删除周期。单纯清空下载目录可能仍留下最近文件、解压缓存或同步副本，因此清理结果应按实际存储路径复核。

导出核对使用脱敏抽样，原包保持只读并按计划清除副本。