Hermit 权限隐私审视：把网站装进沙盒的轻应用到底拿了什么
| 项目 | 内容 |
|---|---|
| 软件 | Hermit |
| 版本 | 29.3.6 |
| 平台 | Android APK |
| 体积 | 4.64M |
| 分类 | 系统工具 |
| 开发商 | Chimbori |
| 包名 | com.chimbori.hermitcrab |
| 官网 | Hermit 官网 |
| 下载一 | Hermit 下载，Hermit 下载 |
| 下载二 | Hermit 下载，Hermit 下载 |
| 文档 | Hermit 文档 |
| 介绍 | Hermit 主打无追踪、无广告、无个人信息收集，宣称把每个网站隔离运行。但它的权限申请、数据隔离边界、沙盒机制背后到底意味着什么？本文逐项拆解。 |
Hermit 是什么，为什么从隐私角度看它
Hermit 是一款安卓应用，核心功能是把任意网站打包成独立的轻应用——每个轻应用跑在各自的沙盒里，Cookie、缓存、本地存储互相隔离。它在 Google Play 的定位很明确：没有广告、没有行为追踪、没有个人信息收集。
我对这类软件的态度一直是"先信三分，再查七分"。主打隐私保护的工具最容易出现两种情况：要么权限申请比谁都多（为了实现功能不得不碰），要么隐私承诺写在首页、实际数据行为藏在 EULA 的小字里。Hermit 的介绍页声称"零追踪"，那我得亲自翻一遍权限申请和设置项，看它到底拿了什么、换来了什么。
它申请了哪些权限
从 Hermit 的功能和官方文档可以直接推导出它需要的权限，没有太多悬念：
- 网络访问权限：这是最基本的，不然轻应用打不开网页。没有网络权限 Hermit 就退化成了一个图标管理器。
- 存储读写：自定义图标时需要从本地相册选图片，沙盒运行过程中产生的临时文件也需要写入存储。
- 系统启动器快捷方式：把轻应用添加到主屏幕，这是 Hermit 的核心入口机制。
- 可能的通知权限：某些网站的轻应用如果需要推送，会涉及通知通道——不过样本文档里没提到 Hermit 主动申请通知权限，也没说会拦截或转发网站的推送。
值得注意的是，Hermit 没有强制账号体系。用户不需要注册登录就能使用核心功能（创建轻应用、沙盒隔离、内容拦截器）。Premium 付费是通过 Google Play 订阅完成的，跟 Hermit 自身的账号体系无关——不买 Premium 的话，全程不需要留下个人信息。
每项权限换来了什么功能
网络访问自不用说，是所有轻应用运行的前提。其他几项权限对应的功能收益值得逐条说清楚：
存储读写 → 自定义图标 + 沙盒文件隔离
Hermit 给每个轻应用提供三种图标选择：自动检测网站 Logo、从本地相册选图、自定义字母方块。后两者都需要存储读取权限——你选的图片需要被 Hermit 读取，然后写入到系统启动器能识别的快捷方式里。
更重要的是存储权限承载了沙盒机制本身。每个轻应用的 Cookie、localStorage、缓存文件都物理隔离在不同的存储路径下。样本文档里提到的"永久隐身模式"就是这个机制的延伸——关掉轻应用后，沙盒里的存储可以被清空，下次打开就是全新身份。
启动器快捷方式 → 真正的"像原生应用一样用网页"
Hermit 的主屏幕快捷方式不是普通的书签或浏览器 PWA。它创建的是独立的 Android Intent，点击直接跳转到对应轻应用的沙盒实例。这也是为什么多个同站轻应用（比如两个 Twitter 账号）能同时在主屏幕上共存、互不干扰——它们是不同的快捷方式，指向不同的沙盒。
哪些可以收紧，哪些关不掉
好消息是，Hermit 的权限里没有那种"不给就完全用不了"的硬性强制——每一项都可以单独评估要不要给：
网络访问：关了就是个空壳，没商量。
存储读写：可以不给。代价是不能用自定义图标（只能用默认字母方块），沙盒的文件隔离仍然能工作——因为沙盒隔离本质上是 Android WebView 的数据目录隔离，不依赖额外的存储权限。
启动器快捷方式：不给的话，轻应用仍然能在 Hermit 主列表里打开，只是不能直接放到主屏幕。对于不喜欢桌面堆满图标的用户来说反而更干净。
Premium 追踪移除功能：样本文档提到 Premium 有个 "Tracking Remover" 功能，可以在你访问某些激进追踪网站时自动剥离 URL 里的追踪参数（比如 UTM 标签、fbclid 之类）。这个功能不涉及额外权限，是 Premium 版在 URL 请求层面做的处理——不过只有付费用户能开。
内容拦截器：默认开启，不需要额外权限。样本里提到它同时拦截广告、恶意软件、假新闻、恶意广告——这个范围比普通浏览器的广告插件宽不少。免费版能用默认规则，Premium 可以自定义具体要挡什么。
边界声明：不说样本没提到的事
有几件事我不会在这里推测，因为样本文档没提到：
- Hermit 会不会收集 WebView 的崩溃日志或性能数据上传到自家服务器——样本没说，不下结论。
- 沙盒隔离是否彻底覆盖了所有追踪手段（比如 Canvas 指纹、ETag 缓存追踪）——样本里只说 Cookie 和 localStorage 隔离，其他追踪手段需要实际测试才能确认。
- Premium 付费是否通过 Google Play 之外的渠道（比如直接在 App 内填写信用卡）——样本没提，按 Google Play 的标准流程应该是走 Play 订阅，但我不确定 Hermit 有没有做额外处理。
这些属于"样本覆盖不到的盲区"，要么需要自己实际抓包测试，要么去看 Hermit 的完整隐私政策——这不在本文的讨论范围内。
谁该在意，谁可以直接用
如果你在意的是"我装了一个主打隐私的应用，它有没有在偷偷收集我"——Hermit 的权限申请清单相对干净。核心功能不需要账号、不需要位置、不需要通讯录、不需要麦克风相机这些敏感权限。存储和启动器快捷方式都是可选项。
真正需要注意的是沙盒隔离的实际边界——Hermit 在功能描述里说"物理隔离 Cookie 和本地存储"，但激进追踪手段远不止这两种。如果你的隐私敏感度极高（比如频繁切换工作号和私人号、或者访问的网站追踪手段特别多样），建议把沙盒和内容拦截器都开起来，配合 Premium 的追踪移除功能。
如果只是想"把几个常用网站放到桌面当应用用，顺便挡掉广告"——那 Hermit 默认配置就够用，不需要折腾权限收紧。
最后说一句：隐私工具的价值不取决于它说自己有多安全，而取决于它实际不碰什么。Hermit 在这点上做得比较克制——权限申请清单短，不强制账号，核心功能不依赖云端数据。剩下的边界靠你自己把握。
本文为个人基于网络公开资料整理编写，非官方内容，仅供学习交流参考；软件版权归原作者所有，请支持正版；使用过程中遇到问题请查阅官方渠道，本文不承担任何责任。
