为何Google判定我的Phonegap Build开发应用发送已安装应用数据？

默认开源版本的Phonegap核心框架本身不会主动收集、外发任何用户隐私数据，包括已安装应用列表。你遇到的未申报外发数据情况，几乎都来自引入的第三方Cordova插件、打包时附带的第三方SDK，部分非官方维护的Phonegap Build定制打包通道也可能会默认植入数据收集逻辑。

应用外发数据检测方法 #

• 本地抓包验证：将测试手机与电脑连接到同一局域网，在电脑端运行抓包工具，给手机配置对应代理并安装抓包工具的根证书，全程模拟用户正常使用应用的所有操作，过滤所有非业务域名的请求，即可查看所有外发数据的内容、目标地址与触发场景
• 静态扫描定位逻辑：使用APK反编译工具将安装包反编译后，全局搜索getInstalledPackages系统API调用记录，即可快速定位是哪部分代码在读取已安装应用列表
• Google Play官方工具扫描：在Google Play Console的「应用内容」-「数据安全」板块，上传最新的APK后使用自带的扫描功能，工具会自动识别所有外发数据的行为并标注对应触发来源

审核误判可能性说明 #

Google Play数据安全审核的驳回误判概率极低，目前的扫描机制会同时覆盖静态代码检测、运行时行为监控两个维度，未申报数据上报的驳回基本都能对应到应用的实际行为。优先排查你引入的所有第三方插件，尤其是广告、统计、分享类插件，这类插件大多默认会收集设备应用列表用于用户画像或广告归因。

内容的提问来源于stack exchange，提问作者Hans Dash