我以中国公民身份，依据《个人信息保护法》第七十条向网信办正式举报了支付宝
208个API拦截 · 22个行为监控 · 97%接口无保护 — 举报全文与全球监管进展
22个行为监控事件。208个API拦截。97%的内部接口没有权限保护。
近期，有公众号博主发文称，已向网信办举报支付宝相关问题。该内容来源于公众号转载，泥伏雷不太懂技术，但如何信息真实，那可太可恶了。
以下为原文内容整理，“我”均指该微信公众号作者本人。
这些不是猜测，是对支付宝APK进行完整逆向工程后，从代码中直接提取的数字。
2026年3月18日，我以中华人民共和国公民身份，依据《个人信息保护法》第七十条赋予的举报权利，向中央网信办APP个人信息治理工作组正式提交了举报。举报副本同步发送至12321举报中心和网信办数据安全部门。
同日，我们向全球22个监管机构发送了技术更新邮件，通报最新逆向发现。至此，已有38个国家和地区的监管机构收到并回应了本研究。
01 你截屏，它知道 — 22个行为监控
支付宝在启动3秒后激活一个行为监控系统，记录以下行为并每10条批量上报服务器：
这些行为均未在支付宝隐私政策中逐项告知。《个人信息保护法》第十七条要求"真实、准确、完整地向个人告知处理的个人信息种类"。
更值得警惕的是：代码中有一个远程开关。蚂蚁集团的服务器可以随时将其打开，激活全部22个监控。用户无法知情，更无法关闭。
02 208个API拦截 — 一个支付APP为什么要监控你的铃声？
支付宝内置DexAOP字节码拦截框架，通过976个代理类拦截了208类设备API。据行业安全研究估计，主流支付APP（微信支付、云闪付等）的拦截范围约30-50类。支付宝是行业参考水平的4-6倍。
208个API拦截类别（部分）
《个人信息保护法》第六条要求"最小必要"。208个API拦截，是支付功能的"最小必要"吗？
03 你安装的支付宝，随时可以被远程"换脸"
支付宝内置了一个叫PatchProxy的机制。用最简单的话说：
蚂蚁集团的服务器可以远程修改你手机上支付宝的代码——不需要你同意，不需要应用商店审核，不需要发布新版本。你以为你在用A版本，实际上它可能已经被悄悄换成了B版本。
这不是理论。代码中每一个安全关键方法（权限检查、支付验证、签名校验）都有一个ChangeQuickRedirect字段——这就是PatchProxy的钩子，允许服务器远程替换这些方法。
《个人信息保护法》第十四条第二款："处理目的、处理方式等发生变更的，应当重新取得个人同意。" 远程修改代码行为而不通知用户，直接违反此条。
04 97%内部接口无保护 — 含数字人民币钱包
扫描全部408个内部接口，396个（97.1%）没有权限保护。
无保护的接口包括：6个支付类（含数字人民币钱包接口）、5个认证类、3个NFC类、6个文件操作类。数字人民币是中国人民银行发行的法定数字货币，其钱包接口在支付宝内缺乏权限保护，属于支付宝APP自身的安全缺陷。
05 举报发送记录
以下举报邮件已于2026年3月18日发送：
中国境内举报
全球监管更新（同日发送，共20封）
06 时间线
为什么公开举报内容
透明是最好的保护。此前4篇微信文章已被蚂蚁集团律师团队全部删除。但代码分析的结论不会因为删除文章而改变。208是208，97%是97%，22是22。这些数字来自代码，不来自我的观点。
作为中国公民，我有权举报。《个人信息保护法》第七十条明确赋予了这一权利。依法行使法律赋予的权利，不需要道歉。
如何自行验证：所有发现均可通过公开工具独立验证。下载APK → jadx -d output Alipay.apk → 搜索 com.alipay.dexaop完整代码：https://github.com/sgInnora/alipay-securityguard-analysis
如果你是出海新人，推荐查阅下面新人导航并开通这些平台~
🛠点击获取：→❤新人出海导航指南❤←
🦧解锁更多资源，你出海路上的知识库，一起闯关一起掘金欢迎关注泥伏雷闯关记→关注🎬YouTube频道
原文引用与关联内容
文章普通人出海工具全指南：从翻墙上网，到全球港美股/虚拟币投资账户与加密消费支付的一站式配置攻略很多新人刚开始接触海外互联网时，都会遇到同样的问题：网络访问受限、海外App无法下载、没有海外手机号、无法注册国外服务，更不用说开通海外银行账户、投资港美股、或者参与加密资产。...想把问题聊得更深入？
公开文章免费阅读。VIP 另含指定深度文章、年度一次 1 小时咨询畅聊与专属社群交流。