在「手机照片隐藏」这件事上，有一个开关经常被当成万能挡板：「允许 App 请求跟踪」。不少人把它关掉之后就放心了，觉得 App 从此读不到自己的照片。
这个结论是错的。不是因为它没用——它很有用——而是因为它管的根本不是这件事。而这两个开关在设置里挨得很近，位置相近、名字都带「隐私」，特别容易被当成同一个问题的两种说法。
一个很常见的误解
先把这个误解说完整。它的推理链是这样的：跟踪＝偷看，关掉跟踪＝不让偷看，所以关掉之后就安全了。
问题出在第一步和第二步之间的那一跳。「跟踪」在 iOS 里是一个有明确定义的技术词，它指的不是「App 读取你的数据」，而是「App 把你的数据和其他公司的数据关联起来」。这两件事的边界，恰好划在照片之外。
「允许 App 请求跟踪」到底管什么
这个开关在 设置 → 隐私与安全性 → 跟踪。它对应的是苹果的 App 跟踪透明度机制（App Tracking Transparency，常缩写为 ATT）。
按苹果的说明，它管的是这样一件事：App 能不能请求跟踪你在其他公司的 App 和网站上的活动，用途包括定向广告、广告效果评估，以及与数据代理商共享数据。
苹果对「跟踪」的定义很具体：把从你这台设备上收集的、能识别你身份或设备的信息，与第三方 App、网站、线下场所收集的信息关联起来；或者把这类数据交给数据代理商。
关键词是跨公司关联。这也解释了它名字里那句「在其他公司的 App 和网站上」——它从头到尾说的都是数据的去向，不是数据的入口。
拒绝之后，被限制的是哪些
如果你选「要求 App 不跟踪」，被限制的是这几件事：
- App 不能访问系统的广告标识符（IDFA）。
- App 也不能改用别的可识别信息绕过去——包括用邮箱、手机号的哈希值，或者设备指纹。
- 开发者不能拿功能当条件强迫你同意。你选了「不跟踪」，仍然可以用 App 的全部功能。
如果你直接关掉上一级的「允许 App 请求跟踪」总开关，效果是所有新请求都默认按「要求 App 不跟踪」处理，而弹窗不再出现。省掉了每次都要点一遍的麻烦。
有一点需要单独提：在儿童账户或受管理设备上，这个开关可能不允许你改动。
它管不到的东西：相册权限是另一套开关
现在说边界。ATT 针对的是跨公司的跟踪和第三方数据——它不影响 App 收集和使用自己的第一方数据。而「App 能不能读你的相册」正属于后者。
相册权限在完全不同的位置：设置 → 隐私与安全性 → 照片。那里才是决定某个 App 能看到你全部照片、部分照片、还是什么都看不到的地方。
两件事的关系可以这么理解：ATT 决定的是「App 拿到数据之后能不能拿出去关联」，照片权限决定的是「App 能不能拿到数据」。先有后者，才有前者的问题。一个相册权限为「无」的 App，谈不上跟踪你的照片。
反过来也一样成立：关掉 ATT 不会撤销任何已经给出的相册权限。你之前点了「完全访问」的那个 App，关掉跟踪之后仍然能读到你的每一张照片。两个开关各管各的，互不干涉。
「授权读取」不等于「授权跟踪」
这个区分在国内也已经被讨论过。有专家在谈 App 隐私时指出：用户授权 App 使用相册、位置等信息，和授权 App 可以「跟踪」相册、位置，本来不是一回事——跟踪按理应当单独授权，只是早年间很多系统没有把这两者分开，才造成了长久的混淆。
iOS 后来越做越细，正是把这两件事拆成了不同的开关。所以「我授权了它读相册」和「我同意它跟踪我」现在是两个独立的选择，任何一个都不能替另一个作答。
那关掉 ATT 还有什么用
有用，而且值得关。只是它的战场不在照片上：
- 它能让 App 拿不到 IDFA，也没法用替代标识符串联你在不同 App 里的行为。
- 它挡住了「你在购物 App 搜了什么，转头在社交 App 看到同款广告」这条链路。
- 它让「拒绝」变成一个不需要理由就能做的选择，而且不影响功能使用。
这些价值是真实的。免费 App 靠广告变现、广告依赖精准投放，这条链条本身没有原罪，但它确实意味着你的行为数据会被跨应用汇总。免费App里的广告SDK正在读取你的相册吗那篇把广告 SDK 这一层的实际能力范围拆得更细。
只是如果你关心的是照片，需要的是另外几个开关。
真正能查「相册被谁看过」的地方
相册权限决定的是能不能看；想查实际看了没有、看了几次，要换一个地方：iOS 的「App 隐私报告」（旧版叫「记录 App 活动」）。
打开之后它会显示过去 7 天里，各个 App 访问照片、相机、麦克风、通讯录、位置等的次数，也能看到 App 连接了哪些第三方域名。这个报告的价值在于：它给的是行为记录，不是权限声明。一个 App 在隐私标签上说自己「不收集数据」，但在报告里一天访问相册几十次，这两份信息放在一起才有意义。
国内有过一次广为传播的讨论，就是有人用这个功能看到某社交 App 在后台频繁读取相册。当事方的解释是：在已经获得相册权限的前提下，系统的相册更新通知会让 App 提前做准备工作，以便用户发图时更快。这个解释成立与否，恰好说明了报告的正确用法——它显示「发生了访问」，而访问的动机需要另外判断。
关于这个功能的完整用法，苹果手机怎么查看哪个App偷看了相册那篇拆得更细，这里不重复。
照片权限的正确档位：为什么该选「选中的照片」
既然相册权限才是关键，那它该给到哪一档？
iOS 给了三档：无 / 选中的照片 / 完全访问。「选中的照片」这一档被很多人忽略，但它通常是性价比最高的选择——App 只能看到你亲手挑出来的那几张，其余整个图库对它不可见。发图、修图、上传这些常见场景，它都能满足。
什么时候不得不给「完全访问」？当 App 的功能本身需要遍历全库时——比如找重复照片、批量整理。这种要求和它的功能是匹配的，苹果手机相册清理App为什么要「所有照片」权限那篇专门讲了这个悖论和它的代价。
还有一层更容易被忽略的：授权拍照，不等于授权读取整个相册。相机权限和相册权限是两个独立的开关，一个 App 可以只申请相机。手机App读取相册权限的真相那篇讲的就是这种「以为只给了拍照权，其实翻遍了全库」的落差是怎么产生的。
一个实用的习惯：临时给、用完收。需要全库权限的操作做完之后，回到 设置 → 隐私与安全性 → 照片，把它改回「选中的照片」或「无」。这件事花十秒，但它把「一次授权」变成了「一次授权、一次收回」。
三道防线，各管各的
把这段理清之后，照片隐私的几道防线分工其实很明确：
- 照片权限（设置 → 隐私与安全性 → 照片）——决定 App 能不能读到照片。这是第一道，也是最重要的一道。
- App 隐私报告（设置 → 隐私与安全性 → App 隐私报告）——决定你知不知道它读了多少次。这是验证层。
- 跟踪透明度（设置 → 隐私与安全性 → 跟踪）——决定 App 拿到数据后能不能拿出去和第三方关联。这是下游，管的是数据的去向，不是数据的入口。
顺序不能倒。把第三道当成第一道用，就会出现「我关了跟踪，照片应该安全了吧」这种空档——权限还开着，App 照样读得到。
结语
「允许 App 请求跟踪」值得关，但它挡的是跨 App 的广告关联，不是相册读取。这两个开关在设置里挨得不远，位置和职责却完全不同：跟踪管的是数据拿出去之后怎么用，相册权限管的是数据能不能拿到。
所以更实际的顺序是：先去 设置 → 隐私与安全性 → 照片，把每个 App 的档位从「完全访问」降下来；再去 App 隐私报告里看一遍实际访问记录；最后才是关掉跟踪开关。前两步决定照片安不安全，第三步决定你的行为数据会不会被串起来。
还有一层是这套权限体系管不到的：它管的是「谁能读到相册里的照片」，管不了「照片为什么会进相册」。每天拍的新照片、App 自动保存的图、聊天里存下来的截图，还是照旧进系统相册，照旧参与索引和同步。要让一部分照片根本不进入相册体系，靠的是入口上的选择，而不是权限里的档位。
相关阅读
30 天全功能免费试用 · ¥39 一次买断 · 无广告无订阅