关于WWDC23第三方SDK隐私清单要求的技术问询

第三方SDK定义明确 #

根据Apple WWDC23及官方文档要求，应用本身以及以XCFrameworks、Swift packages或framework bundles形式分发的第三方代码，都属于需要提供隐私清单（Privacy Manifest）的范畴。

针对你的两个疑问解答 #

1. 无隐私操作的老旧开源库是否需要隐私清单？ #

如果这些开源库是通过XCFrameworks、Swift packages或framework bundles的方式集成到项目中——哪怕仅提供源码、不收集任何数据、也不调用Apple指定的Required Reason API——仍然需要提供隐私清单。不过这种情况下，隐私清单只需明确声明不收集任何用户数据，且未使用任何需要理由的系统API即可。

如果是直接将开源库的源码文件复制到项目中（不属于上述三种分发形式），则不需要单独为这些源码文件准备隐私清单，但需确保你的应用主隐私清单中没有涉及该库带来的隐私相关声明（若库本身无隐私操作，正常声明即可）。

2. 使用未提供隐私清单的第三方SDK是否会影响审核？ #

从2024年5月1日起，新提交的App及更新版本若使用了需要隐私清单的第三方SDK但未合规提供，存在被审核拒绝的可能。对于老旧开源库，若作者未更新提供隐私清单，你可以自行为其创建符合要求的隐私清单并集成到项目中，无需依赖作者更新。
Apple在政策初期可能会有一定宽容度，但合规是长期要求，建议尽早处理。

关于「隐私影响SDK」的信息 #

目前Apple并未公开完整的「隐私影响SDK」官方列表，你可以通过以下方式判断：

• 查看SDK的官方文档或隐私政策，确认是否存在用户数据收集、追踪行为，或调用了Apple列出的Required Reason API（如访问IDFA、使用系统时钟变更通知等）
• 直接检查SDK的代码逻辑，排查是否包含数据上报、追踪相关代码，或调用了需要理由的系统API
  只要SDK涉及用户数据收集、追踪，或使用了Required Reason API，就属于「隐私影响SDK」，必须提供对应的隐私清单。

内容的提问来源于stack exchange，提问作者Angus Chang