这种“短链跳转”到底想要什么？答案很直接：悄悄读取通讯录；一定要关掉这个权限
看到一条短链，点一下就跳转，方便得不得了。但别被表面速度迷惑：很多“短链跳转”背后，藏着索取通讯录的行为。它们并不是为了让你少点几次长链接，而是想悄悄拿到你的联系人名单，用来做推广、建画像、甚至卖给第三方。下面把原理、风险和具体应对步骤讲清楚，赶紧按着做一遍。
短链怎么把通讯录拿走？
- 伪装成功能需求：有些短链来自社交或工具类应用，弹窗请求“允许访问通讯录”，理由往往是“便于分享/寻找好友”。用户一授权，应用就能读取和上传全部联系人。
- OAuth 同意页：有的网站会让你用 Google/Apple 登录并申请“查看/管理联系人”权限，授权后第三方就能批量读取你的联系人。
- 网页或扫码诱导：有的短链会引导你下载 APK、安装企业证书或上传 CSV，一旦操作完成，数据就流出。
- 新兴 API：浏览器的联系人选择器（Contact Picker）需要显式授权并只返回你选中的条目，但恶意页面仍可能诱导你一次性分享多条联系人或用其它方式获取信息。
他们想要这些数据做什么？
- 建立社交图谱，推送更精准的广告或诈骗信息。
- 自动传播：用你的联系人名单向你朋友发送含有短链的消息，扩大感染范围。
- 出售或交换数据，成为其他营销/欺诈项目的原料。
- 验证电话号码或邮箱以便做自动化运营，例如群发短信、电话骚扰等。
如何识别可疑短链或应用行为？
- 弹窗索取“通讯录”权限，理由模糊或与功能不符。
- 短链打开后要求你登录并索取“查看或管理联系人”权限。
- 链接直接引导你下载应用或额外安装组件（尤其是 APK 文件或企业证书）。
- 应用评分和评论大量抱怨隐私/骚扰问题。
- 链接跳转过程异常多次重定向或打开不可识别的广告域名。
马上该做什么：针对 Android 与 iPhone 的具体操作 Android（不同机型菜单名略有差异）：
- 打开 设置 → 应用 或 应用管理。
- 找到有可疑短链来源或你最近安装的相关应用，点开“权限”。
- 关闭“联系人/通讯录”权限（可能显示为“读取联系人”或 READ_CONTACTS）。
- 若不确定应用可信度，直接卸载并清除缓存数据。
- 检查 Google 帐号授权：Google 帐户 → 安全 → 管理第三方访问权限，撤销不必要或可疑应用的访问。
iOS：
- 打开 设置 → 隐私与安全 → 通讯录。
- 找到对应应用，关闭访问开关。
- 若授权过 OAuth（如通过 Apple/Google 登录并授权联系人），到相应账号的安全与授权管理页面撤销访问权限。
Web 与 OAuth 风险控制
- 在授权页面仔细看授权请求的范围：出现“查看/管理联系人”或“访问联系人列表”就不要同意，除非你非常信任该服务。
- 使用 link-expander（解短链服务）或在浏览器中先预览目标链接，避免直接点击。
- 不随意上传联系人 CSV，也不要把 Google/Apple 密码给第三方网站。
预防与替代方案（日常用起来）
- 安装应用前看权限列表和用户评论，优先使用大厂或评价高的应用。
- 使用可信的短链服务（官方 bit.ly、t.co 等仍会有跟踪但通常不会未经授权读取通讯录），对于敏感用途考虑不使用短链。
- 在消息应用中长按链接选择“在浏览器中打开”或复制到文本编辑器里查看，避免直接被嵌套跳转。
- 给重要账号开启两步验证，并定期审查第三方应用权限。
如果怀疑数据已泄露
- 立即收回第三方应用的访问权限并卸载相关应用。
- 更改重要账号（邮箱、社交、金融类）的密码并开启双因素认证。
- 通知可能受影响的联系人，提醒他们警惕来自你名义的可疑消息。
- 在手机和云端查找是否有异常导出或备份记录，必要时联系平台客服或监管机构举报。
一句话行动清单（现在就做）
- 看到短链前先预览，不明来源别点。
- 检查并关闭可疑应用的“通讯录/联系人”权限。
- 撤销不必要的 OAuth 授权。
- 卸载或举报有隐私问题的应用。
短链本身是工具，但当它被包装为跳转器、猎取权限的入口时，就可能变成隐私收割机。给自己一个简单习惯：不随意授权通讯录，遇到要求“读取全部联系人”的接口直接说不——之后再决定是否信任对方。这样既能继续享受便捷，又把隐私的大门关得紧一些。
