@aivier

每个人有自己的想法，但是微信需要在整体上尊重用户数据安全，其中的一个标准
少拿数据，拿额外的数据要经过用户许可，不拿不可以拿的数据。

用 IMEI 跟踪用户的代价比较大。


@Lucups

关于店大欺客，不是有一个 HDMI 接口的么
使用 HDMI 接口的，必须在这套系统里内置 HDMI 标准的加密逻辑，以防止盗版
这样的做法便在一定程度上控制用户的设备，让非授权拷贝变得更困难

Chrome 里面有一个 DRM 插件，也起到类似的作用(有关国际标准里有这样的加密组件，是 HTTP/2 还是别的不清楚)

Mozilla 不情愿地也加入了 DRM 插件，然后发布了一个 EME-free Firefox ，这个版本没有上述 DRM 插件，可能无法在 Netflix 看视频

Apple Music/Play Music/Spotify/netflix 的订阅音乐 /影视都是使用 DRM 的
单独购买的音乐则是 DRM-free 的

这也算达成了一种平衡
毕竟从前 DVD/蓝光(HD-DVD)的加密机制都被解决了，版权方意识到不可能无限使用 DRM

1 ，不用。 2 ，小号伺候

比较像是后门。
可以尝试抓 log ，或是用 android vpn api 进行抓包的工具抓包，看看是不是一个独立组件进行的后门操作，这种情况下删 apk 就成，如果是集成到系统里的那种，便有药丸的节奏

@nvidiaAMD980X xprivacy ？

@Lucups 是微信在用户的地盘玩，当然要遵守用户的规矩，最不济用户能迫使它做不到不守规矩。另一方面它应该遵守大多数人认可的规矩。

因为要 imei 这件事情从一开始连想都不可以想，哦不，我们不能监控思想，总之是不能做的。

结果呢：现在支付宝已经被逼回去了一步

银行 /支付程度的肯定还不够，这些业务还会下很多钉子（特征检测），还有多因素验证之类的

@nvidiaAMD980X
Whatsapp 最近被吐槽限制所有带 telegram 字样的链接

一般在 Whatsapp 里给对方发一个 URL 后
对方可以直接点击这个 URL 打开浏览器进入页面(或调用事前指定的应用)
但这个 URL 出现"telegram"字样后，就会被当文本对待

有人反编译后，发现 Whatsapp 把 telegram 打上了"BadHost"的字样
具体见：
http://www.androidpolice.com/2015/12/01/whatsapp-is-blocking-telegram-links-in-the-android-app/

也是作恶
不知道是谁的主意(是来自 facebook 的还是来自 whatsapp 原有人马的？)

@feicien

------它能把真实的 IMEI 修改掉
当然不可能，它又没能力改 EFS 分区

------只是对接口做了欺骗
是的

------这应该是要求手机是 root 状态的
不是，运行 Xposed 本身不需要 root

------既然手机 root 了
虽然多数运行 Xposed 的手机同时也 root 了
但是目前提供解锁 bootloader 接口的手机上， Xposed 并不需要 root 就可以安装使用

------那微信也可以通过 root 继续获取真实的信息
微信从未试图调用过 superuser
xposed 劫持的是 API 本身，因此是否通过 root 账户调用这个 API 并不会对劫持结果产生影响
所以，只要用户不想让微信获得真实信息，用户就可以做到(当然装 xposed/Xprivacy 不是非常简单)


------你换手机，也不会要求验证吗？
换手机当然会，不给 IMEI 的情况下，卸载微信，并清空它生成的文件后，重装，也会要求验证

------或者绑定银行卡，或者转几毛钱，也不会验证吗？
这件事情我倒是没法验证，因为从未在微信上绑定过银行卡，但相比也是类似的的

------你可以到 Google Play 上看一下，国外的通讯、社交应用，都会要求这个权限的
大部分的此类应用：
1 ，主动地没有要求这个权限
2 ，凡是要求这个权限的，都是可以不许可，且不影响应用运行的
我只知道一个反例，是 Amaze(一个文件管理应用)，它明确要求 IMEI 来防止重复试用增值功能
当然， Amaze 这样的做法自然还是错误的

@feicien

你担忧的并没有发生
可以尝试使用 Xprivacy ，把所有可能的串号都设置成随机的伪造值
微信并不会因此而每次启动都要求验证的

所以，体验不会降低，而是提高了

@mringg

https://support.google.com/adxbuyer/answer/3221407

IDFA 具有两个关键特征：

用户可以随时重置 IDFA 。
用户可以停用所有再营销，方法是启用“限制广告跟踪”(LAT)，此设置会限制广告客户使用 IDFA 进行行为广告投放。*

Google Play Service 上的 AdID 也有类似的特征

@feicien 能做到“跨安装便不能识别设备”是最好的

@feicien
但是在获取不到 IMEI 的场合下除了额外使用一次短信验证码以外，没有区别
而这个额外短信验证正是用户希望的，因为他不希望微信持久跟踪自己的手机


@mxalbert1996
IMEI 并不一定是该加密的 key 的一部分，因为在没有 IMEI ，或 IMEI 为 0 或者不允许使用 IMEI(表现为 IMEI 读出为空字符串或全 0)的设备上，微信有备用措施生成随机数作替代，因此微信聊天数据库加密和 IMEI 有关，但 IMEI 不一定是生成微信聊天数据库密码

然而，这不是微信可以强迫要 IMEI 的理由
因为
iOS....
因为
没有 IMEI 的时候见 @feicien 的说法

@mxalbert1996

然后？

1 ，没有 IMEI 它可以往这个输入里造一个字符串
何况上一个版本没有 IMEI 不也好好地运行着么
2 ，何况还是不能拿 IMEI
3 ，再退一步，想要这个功能的人才刻意地许可这个权限，不想要的还是不给

@Actrace

终究改 IMEI 不是很方便
联发科的芯片可能相对简单
高通的芯片就要去动 EFS 分区


@lxrabbit
手里有大棒时，比较可能迫使微信退(本就不该走的)一步

@lxrabbit
1 ，你为何转移话题？
2 ，这个想法就不对了，变成了类似“受害者谴责”的情形。
每个人拥有自己的数据不至泄露 /被滥用，是天经地义的权利。

------可是你怕被追踪为什么还要来 V2 呢
1 ，因为我想来
2 ，因为我来得了 V2
3 ，因为 V2 没有说我不能来

然后我可以再加上理由 4 ：
4 ：今天我很高兴
理由 4 也可以换成：
4 ：今天我不高心

你看， 4 其实毫无意义


这就像你的财产一样

你处置你的财产，因为：
1 ，你的财产是你的
2 ，别人要动你的财产，需要你的许可
3 ，法律规定了一些下限，你不能越过这些下限，(使用你的财产)侵害它人利益
我们尊重你的财产，是因为我们尊重法律，尊重社会的基本规则 /道德而不在于你心里有没有鬼

@zwy 我确实没有提过加密的事项呀，看看 41 楼以前的加密是谁说到的

@lxrabbit

这样的目的从来不是为了安全，而是为了广告+用户追踪
这个意义上，抓永久性的识别码确实是好办法，因为这个值不太可能改动

退一步说，微信账号得要先有钱，再有“毕竟是钱在里面”的问题，是有因果顺序的，那么这个版本微信做的又是什么呢？
也就是说，即便微信摇通过采取 IMEI 的方式来“有利安全”，也得是有“当前登陆的账号已经有钱 /绑定银行卡”这一前提。
再说了， iOS 没有永久识别码，因此 IMEI 不是理由？

------再说了手机本来就是实名制的吧
1 ，手机从来都不是实名的
比方说，你用非实名的深水淘 /支付宝账号购买了手机，这个手机是实名制的吗？
比方说，你去实体店用现金购买一台手机，商家不知道你是谁，这个手机是实名的吗？
比方说，你用 apple pay 购买了一台手机，因为 apple pay 不知道你花了多少钱，不知道你买了什么，商家也不知道你是谁，那么这个手机是实名的吗？

2 ，实名的是手机号。

这两个的区别在于， 2 的情况中，只需要直接找运营商的接口就能通过手机号查人，再因为手机自身的跟踪特性，也可以通过它物理地找到人。而在 1 的情形中找人，则需要通过实实在在的由公安机关发起的“侦察”才能做到。

但即便是实名的手机号，也有缓解营销目的的用户追踪的方法：频繁地更换小号，而小号池本身就很脏，抓到的小号价值就低。

------支付宝有必要不实名制吗?
支付宝有非实名的账户
这种账户有这样的好处，支付宝难以向这种账户推广任何恼人的新特性，因为其恼人的特性通常都和追踪用户有关，另一方面，使用非实名的支付宝账户也有利于用户对自己银行账户的控制力，且能减少支付宝对用户的侧写能力。

侧写这东西从前只是用来抓罪犯，或是用于军事 /间谍目的，是一种辅助用的跟踪技术。现在已被广泛用于用户追踪。

@skylancer
正是
关于 /proc 的说法是在 developer preview 的 bug 汇报页面上提到的

@lxrabbit
大部分人没有这么强大到可以轻松地“别用就好了”
所以它有错就得改

@paulagent
绑银行卡的逻辑是在服务端，所以这件事在技术上一点办法都没有

@lshero

------Xposed+Xprivacy 这种仅限于 ROOT 后可以用的情况,是否需要考虑一下 各种猴机 ROOT 后相机的算法会不会失效,手机会不会丢失保修之类各种情况。

所以说 Xposed 等是最后手段，一来麻烦，二来有别的代价
但是你的描述里有一些细节不准确：

1 ，运行 Xposed 本身不需要(调用 superSU 意义上的)root 权限，因为 Xposed 自身就是 Android Runtime/Dalvik 的一部分
2 ，把 Xposed 安装到系统里也不依赖于 superSU 或别的 SU 管理器，因为这个安装的原理过程和 OTA 更新相同，只是 Xposed 的安装包没有签名，无法通过手机预载的 recovery(一个独立于 Android 的 linux 系统，连同内核都在 /recovery 分区)安装
3 ，猴机关闭高级相机算法的触发器，失去保修，再也无法使用 KNOX(三星)等与用户解开了 /曾经解开过 bootloader 锁定有关，和是否安装 SU 管理器无关。这部分是签名所说的“别的代价”
4 ，在默认不提供解锁 bootloader 接口的手机进行此类修改，通常需要利用手机上软硬件现有的漏洞(常见于索尼，摩托罗拉， HTC 等的非 developer edition 手机)。


------同样也可以拒绝给不提供设备信息的用户服务,这种事情本身就是双向选择的。

用户同样可以通过 Xposed 等途径，让应用发现不了“不提供设备信息”

和广告过滤类似：

用户过滤广告，叫 adblock
网站阻止用户过滤广告，叫 anti-adblock
可是，用户还是可以简单地把“网站阻止用户过滤广告”的代码无效化

试图在用户的手机上执行的逻辑，一旦被视为威胁，都可能被和谐掉。