在手机上一串地址被逐字敲出来、登录交易账户时每个字符都经过输入层，这些动作其实先落在输入法上，再交给那个你以为”只有这个应用看得见”的输入框。系统允许把整块输入层换成第三方组件，好处是候选词更好用、表情与皮肤更顺手，代价是它站到了你与应用之间。要不要让这层组件联网、要不要让它记住你打过什么，是持有加密资产的人需要单独审的一道权限。
默认状态下，键盘被关在很紧的沙箱里
苹果在平台安全文档里把自定义键盘描述为一类特殊的扩展：用户在系统设置里启用之后，除了锁屏密码输入框与密码这一类安全文本框，它会被用于任何文本字段。为了限制用户数据被带走，系统默认让它运行在一个非常严格的沙箱中，屏蔽网络访问、屏蔽那些可以代替进程做网络操作的服务，也屏蔽可能让这个扩展把打字内容外传的接口。
换句话说，一个刚装上、没有被额外授权的第三方键盘，理论上只能把字符送回当前应用。开发者想要云端词库、跨设备同步、在线翻译这类能力，就得申请开放访问，而且必须由用户明确同意：在 iPhone 上这个开关就叫”允许完全访问”，打开前系统会先弹提示。苹果的开发者文档写得更直白，一旦允许，键盘与承载它的主程序可以把按键数据发送到开发者的服务器。
开关拨过去之后，能力和风险一起变大
同一份开发者文档列出开放访问键盘可以做的事：除普通键盘职责外，还能在用户许可下使用位置服务与通讯录、与主程序共用容器、通过主程序参与内购，同时也被要求遵守应用商店审核指南里针对联网键盘的条款。对用户来说，这意味着一串原本只在设备内部流动的字符，有机会出现在某家公司的服务器上。它未必被滥用，但你在手机界面里看不出它有没有被上报，能看到的只是权限本身。
边界也要说清楚：锁屏密码和密码框并不交给第三方键盘，这两类输入仍由系统自带键盘负责，所以钱包解锁密码这类字段受影响较小。真正把敞口撑开的，是那些看起来平平无奇的普通输入框：网页表单、客服聊天窗口、注册页上的”资产备注”、以及你在聊天里为了核对而粘贴出来的那串地址。
资产场景下值得单独审的三类输入
第一类是助记词与私钥。任何要求你把整句词逐字打进去的页面，都在钱包之前多了一道经手人，而这道经手人是可以联网的。第二类是完整地址与交易哈希。为”再核一遍”而长按粘贴时，字符串进了剪贴板，也可能被输入法的候选与历史记下。第三类是验证码与账户信息。为了让填码更顺，不少输入法需要读取消息内容做智能填码，这份便利依赖的同样是访问权。
清点与收回的顺序
第一步，看清这台设备启用了哪些键盘。iPhone 依次进入”设置、通用、键盘、键盘”就能看到已启用的列表，逐个点开可以确认”允许完全访问”是否被打开；Android 各机型的入口名称不同，一般在”系统设置、语言和输入法”里能查到已启用的输入法。
第二步，把用不上的键盘退回系统键盘。多数人真正需要的只是准确打字加少量剪贴板操作，系统键盘已经够用，少一个组件就少一层可能被上报的路径。
第三步，逐项关掉完全访问。按苹果的说法，这个开关随时可以关回去，键盘仍然能打字，只是失去需要联网的功能。如果某款键盘的核心卖点就是云词库，关掉后体验立刻下降，这正好帮你判断它值不值得这份暴露。
第四步，处理词库与同步记录。输入法的用户词库、剪贴板候选、账号同步都存在它自己的体系里，卸载主程序不等于把记下的内容抹掉。要清理，先在输入法自身的设置里执行删除，再决定要不要卸载。
第五步，给资产操作留一个低访问环境。转账、导入钱包这类动作尽量固定在只用系统键盘的设备上完成；需要核对的地址提前在可信位置比对，不要在陌生页面的输入框里现场拼接。
风险提示
本文关于键盘扩展沙箱、开放访问能力与密码框处理的描述，以写作时苹果、谷歌等厂商公开文档的口径为准。系统版本、机型与地区不同，入口名称与可用选项会有差异，请以设备内实际显示为准。文中内容仅为安全防护与操作建议，不构成投资建议。
发表评论
还没有评论，来说两句吧。
评论区为展示样式，提交不会被处理。