本文针对Telegram Mini Apps（小程序）生态的隐私合规问题展开研究。Telegram Mini Apps是嵌入在Telegram客户端中的Web应用，形成了一个第三方服务生态系统，但它们的隐私属性此前几乎未被系统研究。与微信等依赖封闭、专有执行框架的生态不同，Telegram的小程序运行在WebView中，结合了平台提供的上下文、标准Web能力以及不受限制的出站网络通信。这意味着应用程序可以通过普通Web请求将敏感信息发送给分析、广告、跟踪或其他第三方，且通常缺乏可见性。因此，隐私披露（隐私政策）对透明度至关重要。Telegram允许小程序定义自己的隐私政策，或依赖平台提供的默认政策。默认政策虽然减轻了开发者的披露负担，但可能导致笼统的声明，无法准确反映单个小程序的真实数据实践。为此，作者提出了TeleGapper，一个黑盒动态分析框架，通过捕获运行时的网络流量、识别第三方通信，并将观察到的数据流与披露的隐私信息进行对比，来评估小程序的隐私姿态。作者从社区驱动的应用目录tApps Center收集了278个可用的Telegram小程序进行评估。结果显示：59.4%的小程序至少联系了一个未披露的第三方；78.8%完全依赖Telegram的默认隐私政策；没有任何小程序提供同意或选择退出机制。这些发现暴露了一个被广泛使用但研究不足的生态系统中存在的严重透明度和合规性缺口。该研究的主要贡献包括：首次对Telegram Mini Apps隐私进行大规模实证分析；提出了一个黑盒动态分析框架TeleGapper；揭示了默认隐私政策与实际数据实践之间的显著不一致。适合关注移动应用隐私、Web安全、供应链合规以及新兴平台生态安全的研究人员和蓝队从业者阅读。

该论文针对Android应用中第三方追踪的同意通知机制及其对欧盟《通用数据保护条例》（GDPR）的合规性进行了系统性研究。作者通过大规模静态和动态分析，检测了付费及免费Android应用中嵌入的第三方追踪库，并评估了这些应用在收集用户数据前是否获得了用户的有效同意。研究发现，大量应用在用户未明确同意的情况下即开始追踪，或同意通知的设计违反了GDPR的明确性和自由给予原则。论文的重点贡献包括：构建了一套自动化的同意通知检测框架，识别了多种常见的违规模式（如预设同意、缺乏撤销选项、通知过于隐蔽等），并对不同类别应用的风险等级进行了量化。该研究为移动应用开发者、隐私合规工程师以及监管机构提供了实证依据和实践指导。