别再问链接了，先看这篇：这种“伪装成工具软件”用“验证年龄”套信息；一定要关掉这个权限
近来不少所谓“工具类”应用把“验证年龄”“核实手机号”“实名认证”当幌子，要求访问手机权限。一旦同意，少则被读取短信验证码、通讯录，多则被滥用权限进行账号劫持或窃取隐私。下面把原理、要警惕的权限、如何立即处理和防护技巧说清楚，花三分钟检查一下，提高安全性。
一、他们怎么骗你
- 以“为了防未成年人”或“为了保护内容”要求“验证年龄/手机号”。
- 要求读取短信权限来自动提取验证码（APP可直接拿到你收到的OTP）。
- 要求“辅助功能（Accessibility）”或“显示在其它应用之上（Draw over apps）”来模拟登录界面、监控输入或完成敏感操作。
- 请求联系人、通话记录、存储等权限以采集社交图谱和敏感文件。
- 用户以为是“必要”的步骤就同意，后台便开始窃取或滥发短信、上传通讯录、抓取验证码等。
二、务必警惕的几个权限（优先级从高到低）
- 读取短信 / 接收短信（SMS）：能直接获取一次性验证码，最危险。
- 辅助功能（Accessibility）：能读取屏幕内容、模拟点击，攻击者常用来完成转账、窃取信息。
- 显示在其它应用之上（Appear on top / Draw over other apps）：可覆盖正规界面，钓取账号密码或验证码。
- 通讯录（Contacts）与通话记录（Call logs）：泄露社交关系、联系人信息。
- 存储（Files/Media）：可上传照片、文件，泄露隐私。
- 安装未知来源应用（Install unknown apps / “允许从此来源安装”）：允许安装恶意APK。
- 相机/麦克风/位置：不必要时不要授权。
三、我怀疑自己中招了，马上做这几步
- 立即撤销敏感权限（Android）
- 设置 > 应用与通知 > 查看所有应用 > 找到可疑应用 > 权限 > 关闭“短信/通讯录/电话/辅助功能/显示在其它应用之上”等。
- 或 设置 > 隐私 > 权限管理（Permission manager）逐项检查哪些应用有SMS、Contacts、Accessibility权限并收回。
- 设置 > 应用 > 特殊应用权限（Special app access）> 安装未知应用 / 顶层显示 / 无障碍服务，撤销可疑应用的权限。
- （若iPhone）立即关闭应用相关隐私权限
- 设置 > 隐私 > 通讯录/相机/麦克风/定位，找到应用并关闭不必要权限。iOS通常不能让第三方读取短信，但会有联系人等风险。
- 卸载可疑应用，并清理残留权限/账号
- 卸载后再检查权限，重启手机。
- 改动重要账户（银行、邮箱、社交）密码；如果发现异常登录或操作，尽快与服务方联系。
- 如果收到异常收费短信或发现未经授权发送短信，联系运营商并查询话费异常；必要时冻结或更换SIM卡。
- 检查是否被设置了转发或自动回复，查阅短信设置、SIM卡管理应用。
- 开启并检查安全软件或Google Play Protect的扫描结果。
四、如何在安装前分辨真假“工具APP”
- 看开发者信息：正规公司、长期运营、联系方式清晰。
- 查看安装量与评论：评论里若大量有“自动读取验证码”“后台发短信”类似描述，应警惕。
- 权限请求是否合理：一个文件管理器要读取短信？一个简单计时器要求辅助功能？明显不合理就别装。
- 优先从官方应用商店下载，并检查是否为同名的仿冒包。
- 使用“分步授权”原则：先安装但不授予敏感权限，应用不能正常使用再审慎考虑。
- 尽量使用 Google/Apple 登录、或认证器类2FA（比短信更安全）来做验证。
五、替代方案与长期防护
- 用认证器App或安全密钥代替短信验证（TOTP、FIDO2）。
- 对于确需手机号验证的服务，考虑使用一次性虚拟号码或备用手机号，但仅在信任的服务上使用。
- 定期检查已授权的应用权限（每月一次）。
- 启用手机厂商/系统的安全功能（Find My Device、设备加密、屏幕锁、重复登录提示）。
- 为关键账号开启多因素认证并记录恢复码，避免仅依赖短信。
六、快速权限自查清单（三分钟完成）
- 有哪些应用有“读取短信/接收短信”权限？收回非必要的。
- 有哪些应用启用了“辅助功能”或“顶层显示”？只有极少数可信应用需要。
- 最近安装过哪些叫不出来源的小工具？暂时卸载观察。
- 重要账号是否使用“短信”作为唯一二次认证？若是，改用认证器或安全密钥。
结语 “验证年龄”“验证手机号”可以是合理功能，但也常被用作套取权限的借口。立即把短信、辅助功能、顶层显示这几类敏感权限检查一遍，看到非必要授权就收回并卸载可疑应用。保护好自己的验证码、通讯录和设备控制权限，就是守住账号和隐私的第一道防线。现在就去检查一次，会比事后麻烦省心很多。