一个点外卖的软件，凭什么删你的照片？

今天最吓人的新闻，不是外卖晚了，也不是骑手迟到了。

而是一个你天天拿来点饭、买菜、团购的软件，居然把用户手机里的照片给删了。

这不是卡顿，不是闪退，也不是“小毛病”。

这是直接把手伸进了你的相册，伸进了你的生活。

3月24日，多家媒体报道，部分安卓用户反映，在使用美团 App 期间，手机相册里的照片、视频，甚至音频文件被异常删除。美团客服的说法是：这是“安卓系统在极少数情况下，App 自动缓存清理时遇到第三方 SDK 冲突导致异常”；截至回应时，已有 180多位用户联系客服，预计潜在波及范围在数百人，平台称已紧急修复，并表示会协助找回、承担费用和赔偿损失。按美团自己的口径，这次问题发生在用户本地手机系统层面，不涉及读取、存储或转移用户个人数据。

但我要说，这个解释，不是免责。 恰恰相反，这说明问题更严重。 因为用户没有点“删除”，却发生了“删除”的结果。 不管你把它叫 bug，叫异常，还是叫第三方 SDK 冲突，本质都一样：一个外卖软件，在用户没有明确操作的情况下，动到了用户最私人的本地内容。 这就叫越界。 而且是非常恶劣的越界。 相册里装的不是几张无关紧要的图片，可能是孩子成长的照片，是工作材料，是证件，是证据，是很多人留不住第二份的人生记录。

为什么这次大家会特别强烈地感受到：安卓和 iPhone，安全边界真的不一样。 因为苹果的思路，是先把门钉死，再谈授权。Apple Platform Security 明确写着，iPhone 上所有第三方 App 都在沙盒里，受限于各自边界，不能随意访问其他 App 存储的文件，也不能随便改设备；如果要碰到自己边界之外的信息，只能通过系统明确提供的服务。与此同时，iPhone 还有更细的照片权限控制：用户可以只给 App 看“选中的那几张”，很多场景甚至可以直接走系统照片选择器，不必把整个相册权限都交出去；Apple 还提供 App Privacy Report，让用户回看一个 App 是怎么使用已经授予的权限的。

安卓这些年也不是没进步。 Android 11 强化了 scoped storage，Android 14 又加入了 Selected Photos Access，允许用户只给 App 开放部分照片和视频；官方也在推荐开发者优先使用系统 photo picker，而不是一上来就要整个媒体库权限。可问题在于，安卓长期存在历史包袱和兼容模式：Android 官方文档明确写着，Android 10 时期应用可以临时退出 scoped storage；而在 Android 9 及以下，如果应用拿到 WRITE_EXTERNAL_STORAGE，就可以修改甚至删除媒体文件。换句话说，安卓是在不断补门，但这扇门过去开得更大，现实里又存在版本差异、适配差异、厂商差异，所以边界往往没有 iPhone 那么硬。

这就是为什么，这次公开报道里，问题集中爆在安卓用户身上，而不是 iPhone。 不是因为 iPhone 绝对不会出事。 而是因为苹果默认把权限切得更细，把系统隔离做得更死，把“你只能拿到用户明确交给你的那一小部分东西”这件事，做成了平台级规则。 安卓在朝这个方向走，但过去太多 App 习惯了“大口子权限”，太多体验建立在“先给我全开”之上。 一旦平台治理、开发规范、第三方 SDK 管控里哪一环松了，最后倒霉的就是普通用户。

更关键的是，这种事不只是“用户不爽”，它已经踩到了监管红线。 网信办发布的《App违法违规收集使用个人信息行为认定方法》明确写着，实际打开的权限超出用户授权范围，或者违反声明规则收集使用个人信息，都可能被认定为违法违规。2026年1月公开征求意见的《互联网应用程序个人信息收集使用规定》又进一步强调，App 只能在用户使用具体功能时索要对应权限，必须与当前功能场景直接相关，而且要做到最低频度、最小范围，不得调用非必要权限。个人信息保护法也要求处理个人信息必须公开透明，明示目的、方式和范围，并采取必要措施保障安全。

所以，这件事最该骂的地方就在这里： 美团不是没有技术能力，而是没有守住边界敬畏。 你可以做外卖，你可以做到店，你可以做团购，你可以做酒旅。 但你没资格替用户“管理”相册。 更没资格替用户“删除”人生。 哪怕你说这是“小概率”，对平台来说是概率，对用户来说，可能就是几年回忆，一瞬间没了。

所以最后我只想说一句： 一个点外卖的软件，手伸得太长了。 这次删掉的是照片。 下次呢？ 如果连相册边界都守不住，那用户凭什么继续相信你能守住手机里更重要的东西？