alist 隱私審視：這款網盤聚合工具到底碰了我哪些資料

alist 是什麼？一個能把所有網盤塞進同一個介面的工具

我接觸 alist 純粹是因為手機上裝了四五個網盤客戶端，每個裡面都有點東西，跨盤找檔案、複製個檔案要切來切去——煩死了。alist 解決的就是這個痛點：它自己不提供雲端空間，而是把你已有的夸克、阿里、百度甚至本機硬碟這些互不相通的存儲，統統掛進同一個介面，瀏覽器打開就能看，還能當 WebDAV 網路磁碟用。

簡單說，它就是一個第三方聚合中轉站：你把各家網盤的授權令牌交給它，它幫你把檔案目錄樹拼成一棵大樹；下載時流量經過它的伺服器中轉出去。聽起來很方便，但這裡面有幾個隱私問題值得攤開看清楚——尤其當你把幾個網盤的私密資料都掛進去的時候。

安裝

這款軟體在 Android 平台上的形態是 APK 安裝包（版本 1.25.022810，37.64M），安裝本身沒什麼特殊門檻——從 alist下載 下載完點一下「允許未知來源」就能裝。但首次啟動後要留意一件事：它不是打開就能用的那種 App，啟動後會在本機監聽 5244 端口，需要你進入後台介面逐個配置網盤掛載。

手機上用的話，先確認應用有網路存取權限（預設會自動請求）；如果要掛載本機內部存儲的檔案，首次訪問時會彈出存儲權限請求，選允許。另外，部分網盤掛載時需要你用瀏覽器完成 OAuth 授權流程，授權成功後 alist 會拿到一個刷新令牌存在本機——這個令牌相當於該網盤的臨時通行證，給了就能代你操作該盤上的檔案。

它到底要了我什麼

拆開 alist 的隱私暴露面，大致分四層：

第一層：網盤授權令牌——這是最大的那塊。你每掛一個網盤，就等於把該盤的 API 令牌交給了 alist。令牌通常有有效期，過期了 alist 會自動刷新，但只要令牌有效，alist 理論上能看到你這個盤裡的全部目錄結構、檔案清單、甚至中繼下載你的檔案內容。樣本文檔裡提到的「刷新令牌」「唯一約束令牌」這些概念，本質上就是 alist 用來跟網盤 API 對話的身份憑證。

第二層：本機存儲權限——如果你把手機內部存儲也掛進去，那 alist 就能讀寫那裡的檔案。Android 13 之後分了精細存儲權限，可以選擇只給部分目錄的訪問權，不一定非把整個存儲都放開。

第三層：網路請求——顯而易見，alist 要跟各家網盤的 API 說話才能拿到檔案列表，所以會有持續的網路活動。樣本文檔裡提到「阿里雲盤 InvalidArgument」「百度網盤 hit black userlist」這些報錯，說明它確實在頻繁調用網盤介面，甚至可能觸發網盤側的風控機制。

第四層：日誌與快取——樣本中有提到「半小時目錄快取」「快取過期」，這意味著 alist 會在本地硬碟上暫存目錄清單，以加快二次訪問。如果你掛載的是敏感目錄，快取文件裡可能殘留檔案名稱與路徑結構。

每項權限換來了什麼，不給會怎樣

權限/令牌	換來的功能	不給會怎樣
網盤刷新令牌	該盤的目錄瀏覽、搜尋、下載、上傳全部功能	該網盤掛載失敗，後台顯示加載失敗或一直 loading
本機存儲權限	把手機檔案當一個存儲掛進介面，與雲盤目錄合併	本機存儲掛載後顯示空目錄
網路訪問	連接各網盤 API、中繼下載/上傳流量	應用啟動不了或所有掛載項報錯
本地快取	目錄列表秒開，避免每次請求都打網盤	可以在掛載設置裡把「快取過期」調為最小值，但會犧牲載入速度

從 alist文檔 的「掛載報錯排查」一章能看到，令牌失效、網路不通這些情況都會導致整個掛載項掛掉，說明 alist 對網盤 API 的依賴是硬依賴——沒有令牌等於什麼都看不到。

哪些可以收緊

好消息是，不是所有權限都必須全開。以下是樣本文檔提到或從平台常識能推斷出的收緊空間：

收緊存儲訪問範圍：Android 13+ 系統級別可以精細控制應用只訪問特定資料夾，不需要把整個內部存儲都授權。如果你只打算讓 alist 掛載雲盤，完全可以不給本機存儲權限。

縮短快取過期時間：在後台每個掛載項的設置裡都有「快取過期」參數，默認較長。把它調到 5~10 分鐘，快取文件殘留的時間窗口就會縮小。

敏感目錄用密碼保護：樣本中提到 meta-password-ok.png 「meta-password-wrong.png」這些截圖，說明 alist 有提供目錄級別的密碼保護功能。把你覺得敏感的子目錄設個訪問密碼，至少在介面層加了一道門。

不用時關應用：這聽起來像廢話，但 alist 在掛載狀態下會持續監聽 API 變化。不用時強制停止應用，能立即切斷它與網盤 API 的活動連接。

邊界聲明

以下內容是樣本文檔沒有提到的，我不下結論：

• alist 是否會把你的網盤令牌上傳到任何第三方伺服器？樣本沒有提到遠程令牌存儲。由於它是開源軟體（AGPL-3.0），理論上代碼可審，但我這篇不是審計報告，這點留給你自己決定。
• 中繼下載時 alist 的伺服器端是否會在記憶體中暫存你的檔案內容？樣本只提到了快取目錄結構，沒有明說檔案內容的快取行為。
• alist Android 版是否有廣告追蹤 SDK？樣本完全沒提這事，我也沒法從功能描述裡推斷。

結論

如果你掛載的網盤裡只有電影、電子書這類公開資源，令牌交出去沒什麼好糾結的——這就是 alist 設計的使用場景。但如果你打算把私密照片、工作文件也掛進來，建議先把存儲權限收緊（不要給本機）、敏感目錄加密碼保護，不用時關應用。一塊令牌等於一把鑰匙，給出去之前確認這把鑰匙能開哪些鎖，你自己心裡有數就好。

本文为个人基于网络公开资料整理编写，非官方内容，仅供学习交流参考；软件版权归原作者所有，请支持正版；使用过程中遇到问题请查阅官方渠道，本文不承担任何责任。