25、安全与隐私：数据加密传输、权限最小化、用户隐私保护、安全认证机制

车机互联开发，说白了就是让手机和车机「谈恋爱」。但这段关系里，最怕的是什么？是第三者插足。数据被窃听、隐私被泄露、认证被绕过——这些都是我们开发者必须守住的底线。

我做了这么多年互联开发，见过太多「功能做完了，安全没跟上」的项目。有一次客户的车机被白帽子攻破，就是因为传输层没做加密。嗯，从那以后，我对安全这块就格外较真。

今天咱们就聊聊车机互联中的安全与隐私。四个核心点：数据加密传输、权限最小化、用户隐私保护、安全认证机制。一个一个来。

25.1 数据加密传输：别让数据裸奔

车机和手机之间的通信，走的是无线链路。Wi-Fi、蓝牙、甚至蜂窝网络。这些信道天然不安全。你想想看，如果数据是明文传输，那随便一个抓包工具就能看到你在车里干了什么。

我的建议是：所有敏感数据必须加密。

加密分两种：对称加密和非对称加密。车机互联场景下，我一般这样搭配使用：

• 握手阶段：用非对称加密（RSA/ECDH）交换会话密钥
• 数据传输阶段：用对称加密（AES-256-GCM）加密实际数据

为什么这么搭配？非对称加密慢但安全，适合做密钥协商。对称加密快，适合大量数据传输。各取所长。

来看一个实际的代码片段。这是我在一个项目中用过的AES加密工具类：

// AES-256-GCM 加密示例
public class CryptoUtil {
    private static final String ALGORITHM = "AES/GCM/NoPadding";
    private static final int GCM_IV_LENGTH = 12;
    private static final int GCM_TAG_LENGTH = 128;

    public static byte[] encrypt(byte[] plaintext, SecretKey key) throws Exception {
        byte[] iv = new byte[GCM_IV_LENGTH];
        SecureRandom secureRandom = new SecureRandom();
        secureRandom.nextBytes(iv);

        Cipher cipher = Cipher.getInstance(ALGORITHM);
        GCMParameterSpec spec = new GCMParameterSpec(GCM_TAG_LENGTH, iv);
        cipher.init(Cipher.ENCRYPT_MODE, key, spec);

        byte[] ciphertext = cipher.doFinal(plaintext);
        // 将IV和密文拼接在一起传输
        byte[] encrypted = new byte[iv.length + ciphertext.length];
        System.arraycopy(iv, 0, encrypted, 0, iv.length);
        System.arraycopy(ciphertext, 0, encrypted, iv.length, ciphertext.length);
        return encrypted;
    }
}

另外，证书锁定也是个好习惯。车机端只信任你签发的证书，而不是系统根证书。这样可以防止中间人攻击。我在一个车载导航项目里就用了这个方案，效果很好。

25.2 权限最小化：不给多余的权利

权限最小化原则，说白了就是「够用就好」。手机App请求车机权限时，只申请它真正需要的。车机请求手机权限时也一样。

举个例子。一个音乐播放App，它需要读取手机上的歌曲列表。但它不需要访问你的通讯录，也不需要获取你的位置。如果它申请了这些权限，你就得警惕了。

我个人的习惯是：在架构设计阶段就把权限清单列出来。每个权限都要有明确的理由。没有理由的权限，一律砍掉。

在Android Automotive中，权限管理是这样做的：

• 普通权限：在Manifest中声明即可
• 危险权限：必须运行时动态申请
• 车机专属权限：比如访问车辆CAN总线、读取车速等，需要系统级签名

来看一个权限申请的代码示例：

// 运行时权限申请示例
if (ContextCompat.checkSelfPermission(this, 
        Manifest.permission.ACCESS_FINE_LOCATION) 
        != PackageManager.PERMISSION_GRANTED) {
    ActivityCompat.requestPermissions(this,
            new String[]{Manifest.permission.ACCESS_FINE_LOCATION},
            LOCATION_PERMISSION_REQUEST_CODE);
}

25.3 用户隐私保护：数据不是你的

这一点我特别想强调。用户的数据，本质上不属于你。你只是临时处理一下。用完就得删，或者至少得让用户知道你怎么用的。

车机互联场景下，隐私数据主要包括：

• 位置信息：车辆行驶轨迹、常去地点
• 通讯录/通话记录：蓝牙电话同步的数据
• 媒体信息：播放历史、收藏列表
• 车辆状态：车速、里程、油耗等

我的做法是：

1. 数据分类：把数据分为「必要数据」和「非必要数据」。非必要数据不上传云端。
2. 数据脱敏：比如位置信息，只上传到街道级别，不精确到门牌号。
3. 数据生命周期管理：设置数据保留期限。过期自动删除。
4. 用户控制权：提供开关，让用户自己决定是否分享数据。

我记得有一次，一个用户投诉说车机把他的通话记录上传到了云端。后来查下来，是开发人员把蓝牙电话的同步数据默认上传了。其实用户根本不需要这个功能。从那以后，我要求所有数据上传都必须有明确的用户授权。

25.4 安全认证机制：你是谁？你凭什么？

车机和手机建立连接时，首先要确认对方的身份。这就是认证。认证不过关，后面的加密和权限管理都是白搭。

常见的认证方式有：

认证方式	安全性	适用场景
PIN码配对	低	蓝牙首次连接
二维码扫描	中	手机App绑定车机
数字证书	高	企业级互联方案
OAuth 2.0	高	云端账号绑定

我个人推荐使用「二维码 + 数字证书」的组合方案。为什么呢？

二维码扫描方便，用户体验好。但二维码本身容易被篡改。所以扫描成功后，车机和手机之间还要做一次证书双向认证。这样既保证了易用性，又保证了安全性。

来看一个双向认证的简化流程：

// 双向认证流程（伪代码）
1. 手机扫描车机屏幕上的二维码
2. 二维码中包含车机的公钥指纹
3. 手机生成临时密钥对，用车机公钥加密后发送
4. 车机用私钥解密，得到手机的公钥
5. 双方用对方的公钥验证签名
6. 认证通过后，开始协商会话密钥

25.5 知识体系总览

说了这么多，咱们用一张图来总结一下。这张图展示了安全与隐私的四个核心模块，以及它们之间的关系。

这张图你看懂了吗？四个模块不是孤立的。加密传输保证数据在路上的安全，权限最小化控制数据访问的范围，隐私保护规范数据的使用方式，安全认证确保通信双方的身份可信。缺一不可。

好了，这一章的内容就到这里。安全与隐私是个大话题，但核心思路其实不复杂：该加密的加密，该限制的限制，该告知的告知，该验证的验证。做到这四点，你的车机互联方案就基本合格了。

---

公众号:蓝海资料掘金营，微信deep3321