你的必要隐私手册（二）—— 控制联网与应用列表读取

Matrix 首页推荐

Matrix 是少数派的写作社区，我们主张分享真实的产品体验，有实用价值的经验与思考。我们会不定期挑选 Matrix 最优质的文章，展示来自用户的最真实的体验和观点。

文章代表作者个人观点，少数派仅对标题和排版略作修改。

简介

这是「你的必要隐私手册」系列的第二章 —— 关于「联网控制」与「限制应用列表读取」。

如果你并未阅读过本系列的第一章，推荐先从那里开始：《你的必要隐私手册（一） —— 权限管控，存储空间隔离》。本章的许多内容将以那篇文章为基础展开。

为简洁起见，本文及以后的系列文章将不再重复实操条件与例行声明（除非相对之前的文章有变动。这种情况将另行声明）。取而代之，这篇文章（当然，后面的文章也是如此 😊）将直入主题，探讨在 Android 手机下，两个可以切实保护隐私的办法：

控制联网；
限制应用列表读取；

需要注意的是：本章需要你在 Magisk 的基础上，再额外安装一个框架：LSPosed¹。这是一个现代化的 Xposed 实现。安装方式将与正文一同给出。

话不多说，让我们开始吧。

控制联网 —— AFWall+

⚠ 部分应用（如「某某运动健康」）可能会因长时间无法正常连接至互联网而停止运行。
⚠ 如设定「局域网限制」，部分需要「回环连接」的应用可能无法正常工作。

本章将要介绍的应用：AFWall+，是一个可以控制应用联网行为的「防火墙」。它可以管控某个应用与互联网或者本地其它应用的通信行为。

举个例子。你也许不希望这些应用能够访问互联网：

输入法。因为它可能忠实的记录了你在手机上的每一次输入；
通知收纳。因为它能拿到你所有的通知记录；
电子保险柜。因为它有能力读取非常重要的信息。

那么，不妨遵循「最小权限原则」，关上它们访问互联网的大门。

AFWall+ 是一款免费且开源的应用，你可以在 GitHub 找到它的源代码。它将需要 root 权限来设定拦截规则。

安装

你可以点击下面的卡片，或者在合适的渠道下载并安装 AFWall+。

下载并安装完毕后，应用可能处于英文状态。你可以通过录屏所示的步骤将其切换为中文：

下文将假设你的 AFWall+ 处于中文状态。之后，本文还会介绍 AFWall+ 的一个功能，叫做「局域网控制」。它将会在文章的后半部分用到，因此先在这里开启它：

点击「右上角三个点」、「首选项」、「规则/连接」；
选中「局域网控制」。

完整的操作录屏如下：

之后，回到应用首页，开始设置联网管控规则。

设置联网管控规则

迎面而来的，是一长串的列表。它代表着可以被施以联网规则的项目。也许你已经注意到了：开头的几个并不是应用，而是系统的一些组件等。它们不在本文的介绍范围内。你可以在之后自行了解每一项的作用。需要提醒的是：请不要在未明确作用的情况下修改这些「非应用的选项」，否则可能导致整个系统都无法正常连接到互联网。

与之同时，每个项目都有三个复选框，代表可以控制的联网行为。从左至右，分别是：

局域网；
WIFI；
移动数据。

介绍到这里，你也许已经跃跃欲试，想要限制某些应用的联网行为了。如果现在就勾选一些项目的选项，并在开启防火墙的情况下点击「右上角三个点」、「应用规则」，你会发现：除开被勾选的应用，其它的应用都无法上网了。这是因为 AFWall+ 默认被设定为「白名单机制」：只有勾选的应用才允许连接对应的网络。你可以点击主界面的这个地方将 AFWall+ 设定为「黑名单模式」（阻止所选项）：

这样，只有你勾选的项目才会被阻止，而其它未勾选项将默认放行。下文的介绍也以「阻止所选项（黑名单）」为前提。

为方便理解，举例说明用法：你想要阻止列表里的 Abstruct 应用连接到 WIFI。那么，只需要勾选 Abstruct 所在项的第二个复选框即可。

设定完成后，不要忘记点击「右上角三个点」、「启用防火墙」，来应用你的拦截规则。

需要额外说明的是：「启用防火墙」只在第一次应用规则时需要点击。之后该选项将变为「禁用防火墙」。后续请点击「应用规则」，以应用新设定的管控策略。

如果现在就打开应用，你会发现：在连接到 WIFI 的情况下，该应用无法加载出任何互联网的内容了。

这代表成功施加联网限制。当然，该限制目前只针对于 WIFI。如果需要，还可以勾选第三个复选框 —— 移动数据。这样，该应用就无法借助自己的力量，通过「WIFI」与「移动数据」发送任何数据到互联网了。

局域网

细心的你也许发现了：这里加上了一个值得注意的限定语：「借助自己的力量」。

难道说，应用可以借助别人的力量，以实现发送数据的目的？至少目前的设定下，是可以的。被限制的应用，理论上可以通过「局域网」将自己的数据传输给另一个应用，并以另一个应用作为代理，将数据发送至互联网。

幸运的是，要解决这个问题很简单，只需要同时勾选第一个选项即可。这样，这个应用就无法通过「局域网」与其它应用传输网络数据了。

也就是说，如果想要彻底限制应用在通常情况下²的联网行为，应该将三个勾都勾上：

同理，你可以针对需求，对特定的应用设定合适的管控规则。之后，这个应用就会安分的呆在本地，不会意外的和外面的网络世界有联系了。

因为该软件免费且开源，所以没有附上替代品。

隐藏应用列表

⚠ 会破坏应用的分享功能（相应应用无法得知被分享应用的存在）。但可以通过「保存副本」等应用进行「中转」，以变相达到分享的目的。
⚠ 如开启「白名单模式」，且未选择「排除系统应用」，请记得在模板中加入系统的 WebView 应用，否则被隐藏且依赖于 WebView 的应用会闪退。
⚠ Syscall 相关的拦截还未做出（截至写稿日）。但其它的检测方式可以成功拦截。

由于一些众所周知的原因，Magisk 等会修改系统的软件包名被列入了一些软件的反作弊清单内。尽管这在一定程度上帮助维持了软件行业的健康发展，但也误伤了众多以相同方式优化 Android 的用户。

与之同时，也有一些软件，会利用各式各样的系统漏洞，来试图获知手机上安装的应用程序列表，以期生成用户的数据画像。

因而，限制一些应用读取应用列表，就成为了平衡隐私与便利的重要方法之一。HideMyApplist 就是这么一个 Xposed 模块，可用于限定指定应用可以读取的应用列表。

为保证最佳体验，本文后面的内容将用 LSPosed 框架进行技术演示。其底层依赖于 Riru。如果不清楚 Riru 的用途，是什么以及如何安装，那么可以点击这个链接查看本系列第一章对它的介绍。如果不知道 Xposed 是什么的话，你可以将其看成一种「免刷 ROM 即可修改系统的框架」，或是到 XDA 查看对 Xposed 的详尽介绍。