下载一个新App，弹出”允许访问照片”——你点了”允许”。你以为只是让这个App保存一张截图，或者用它拍照后能正常保存。但实际上，这个权限意味着这个App可以读取你相册中的每一张照片。iOS和Android虽然近年来改进了权限粒度，但很多用户对照片权限的理解仍然和实际情况有巨大差距。
iOS的”选择照片”可能让你误以为安全了
iOS 14引入了”选择照片”选项——看起来你可以只授权App访问几张特定的照片。这是一个重大的隐私进步。但这里有一个容易被忽略的陷阱：当App需要保存一张新照片到相册时，它需要”添加照片”权限，而这个权限实际上允许App将任意照片写入你的相册，同时也能读取某些相册元数据。
更隐蔽的是，如果一个App同时拥有”添加到相册”和另一个看似无害的权限（比如”后台App刷新”），它可以在后台逐步构建你的相册内容画像——虽然不能直接读取照片内容，但可以通过文件名、创建时间、文件大小等元数据推断出相当多的信息。
使用摄秘 SheMi等即拍即藏工具的最大优势在于：私密照片根本不进入系统相册，所以任何App——无论你给了它什么权限——都无法通过系统相册扫描到你的私密内容。这是物理隔离带来的安全保证，而非权限管理。
Android的”存储权限”历史遗留问题
Android在权限管理上的演进远不如iOS优雅。在Android 10之前，App获取存储权限意味着它可以读取整个文件系统——不仅包括照片，还包括下载文件、文档、甚至部分应用数据。Android 10引入了”分区存储”机制，将媒体文件和App私有文件分离，但权限模型仍然存在模糊地带。
特别是：很多Android App在申请权限时使用”读取媒体文件”的表述，但实际请求的是`READ_EXTERNAL_STORAGE`权限。这个权限在Android 12及以下版本中仍然可以读取广泛的存储内容。而且——很多用户不知道——即使你拒绝了存储权限，App仍然可以通过系统媒体库API（MediaStore）访问你的照片，只是访问范围受限。
还有一个更隐蔽的问题：Android厂商的定制系统（MIUI、EMUI、ColorOS等）在权限管理上有各自不同的实现。小米的照明弹功能可以记录App的后台行为，但不是所有品牌的手机都有类似功能。这意味着在华为或OPPO手机上，App的相册访问行为可能比在小米手机上更难被用户发现。
一个App真正需要什么权限？逐个审视
拍照/录像App：需要相机权限（打开摄像头）+ 存储权限（保存照片）。但这里的存储权限应该只是”在SD卡中创建文件”的能力，不应该需要”读取已有文件”的权限。然而大多数安卓App包装了这两个需求为一个”存储”权限申请。
社交/聊天App：发送照片时需要一个”照片选择器”——但这不需要App自己扫描你整个相册。iOS的照片选择器由系统提供，App只能看到你选中的照片。Android的Photo Picker从Android 13开始支持类似的机制。
修图/美颜App：理论上只需要访问你要编辑的那一张照片。但如果App申请了”完全相册访问权”，它就可以在后台浏览你的其他照片。选择修图App时，优先选择那些使用系统照片选择器而不是自建相册浏览界面的App。
隐私相机App（如摄秘 SheMi）：完全隔离于系统相册，不需要任何相册访问权限。照片存储在应用专属的沙盒中，与系统媒体库物理隔离。这是最高级别的隐私保护——App之间的数据完全不互通。
3个你应该立刻做的检查
第一，审查现有权限。打开系统设置，逐一检查每个App的照片/存储权限。对于已经几个月没用过的App，直接移除权限或卸载。你可能会惊讶地发现有些App你完全没有印象却拥有完整的相册访问权。
第二，改用”仅添加照片”模式。iOS用户：对于不需要读取现有照片的App，将照片权限从”完全访问”改为”仅添加照片”。如果App不支持这个权限级别而崩溃，说明它试图读取你的相册——考虑卸载它。
第三，隔离私密照片。将真正敏感的私密照片从系统相册中移出，存储到摄秘 SheMi等独立沙盒中。这样即使某个App滥用了相册权限，它能扫描到的也只有你的日常普通照片，而不会触及到需要真正保护的内容。
结语
照片权限是手机上最常被滥用、也最被用户忽视的权限之一。一个简单的规则：如果某个App的权限让你感到不适，那大概率设计这个权限的产品经理也觉得不适——但他们这样设计了，因为数据就是他们的商业模式。在期待系统厂商改进权限管理的同时，自己主动隔离和保护才是当下最可靠的方案。