软件学报

作者：刘力沛，毛剑，林其箫，吕雨松，李嘉维，刘建伟

单位：刘力沛，北京航空航天大学 网络空间安全学院, 北京 10019111,毛剑，北京航空航天大学 网络空间安全学院, 北京 100191;北京航空航天大学杭州创新研究院, 浙江 杭州 310051;天目山实验室, 浙江 杭州 31111502,林其箫，北京航空航天大学 网络空间安全学院, 北京 10019103,吕雨松，北京航空航天大学 网络空间安全学院, 北京 10019104,李嘉维，北京航空航天大学 网络空间安全学院, 北京 10019105,刘建伟，北京航空航天大学 网络空间安全学院, 北京 10019106

关键词：小程序;代码与隐私声明一致性;污点分析

基金：国家自然科学基金(62172027, U24B20117); 国家重点研发计划(2020YFB1005601); 浙江省自然科学基金(LZ23F020013)

小程序需要为用户提供隐私声明, 告知要使用的隐私信息种类和目的. 代码与隐私声明不一致的小程序可能会欺骗用户导致用户隐私泄露. 现有一致性检测方法中, 将二者转为预设的标签进行一致性判断的方法会损失信息导致漏报, 而仅依靠代码分析的方法也难以应对混淆处理的小程序代码. 针对上述问题, 提出基于语义分析的小程序代码与隐私声明一致性检测方法, 根据定制化污点分析结果提取代码行为, 使用代码语言处理模型将敏感资源使用代码表示为自然语言, 结合隐私声明中资源使用目的, 人工检测与代码行为的一致性. 实验结果表明, 污点分析模块覆盖小程序接口的全部3种数据返回方式和4种常见数据流, 较同类方法提升小程序敏感行为发现能力; 在上万个小程序语义分析中, 发现高频调用接口的部分行为存在隐私泄露风险, 识别出真实环境中代码与隐私声明不一致的小程序.

来源：2025年第11期

《软件学报》期刊编辑部

查看软件学报杂志2025年第11期