我承认我上头了：越是标榜“免费”的这种“短链跳转”，越可能悄悄读取通讯录
前几天我为了省点麻烦，把活动推广链接交给了一个号称“免费无限量短链、自动跳转”的服务。开始效果看着还行，转化也有。但随后我收到几条用户私信：点开链接后，手机弹出允许访问通讯录的请求，有人拒绝了，有人误点了。那一刻我整个背脊发凉——作为推广人，我把用户带到一个我并不完全了解的中间环节，后果由不得我随意。
这不是危言耸听。短链服务看起来像个不起眼的中间页，但背后可能嵌入脚本、SDK或跳转逻辑，会读取设备信息、监测安装列表、甚至在移动端引导用户打开第三方 App 并触发权限请求。更可怕的是，有些“免费”服务为换取商业模式，默默采集通讯录或社交关系，用于广告投放或数据出售。免费并不等于干净，这个逻辑适用于很多看起来“低摩擦”的工具。
我把这次经历当成一次审计启蒙，整理了实用的判断与应对策略，分享给所有做推广、发短链或常点别人短链的朋友们：
如何判断短链是否安全
- 看域名和品牌：用你不熟悉的二级域名或临时域名的短链更可疑；品牌短域（如yoursite.link）信任度更高。
- 检查跳转页面：在桌面浏览器打开短链，查看是否直跳目标或先加载第三方脚本、广告域名、弹窗等。
- 手机权限弹窗：任何要求访问通讯录、短信、通话记录的弹窗都应提高警惕。正规的跳转不应无理由索要这些权限。
- 阅读隐私政策：虽然没人都读，但遇到怪异权限请求时回头查一眼，能省很多麻烦。
- 社区与评价：搜索服务名称和“隐私/通讯录/读取”关键词，看看有没有被吐槽或曝光的记录。
我推荐的替代方案（更稳妥）
- 自建短链（强烈推荐）：YOURLS、Polr、Kutt 等开源短链，在自己的域名和服务器上运行，完全掌控跳转逻辑和日志。品牌域名也更容易获得用户信任。
- 使用大厂信誉的短链：如 bit.ly、t.co（由平台控制的短链）相对透明且审计机制更完善。
- 静态中转页：如果要做跟踪，可以在自己的网站搭一个简洁的中转页面，说明跳转原因并展示目标链接，让用户有选择权。
- 在 URL 上使用 UTM 等追踪参数代替隐形 SDK 采集，既能统计效果又不侵犯通讯录。
技术层面的简单自查（面向技术/小团队）
- 在本地抓包（Charles、Fiddler）或使用浏览器开发者工具查看短链跳转时的请求目标，注意是否有向陌生域名发送通讯录相关API调用或上传设备联系人指纹。
- 在 Android 上检查安装包是否请求 READCONTACTS、READCALL_LOG 等敏感权限；在 iOS 上关注 Contacts 隐私弹窗来源。
- 用“沙盒”账号或空白联系人测试，看是否会被请求或上传数据。
给做推广的你我的最后建议
- 把用户体验和信任放在第一位。一个短期省下的几块钱，换来的可能是用户流失、口碑受损甚至法律风险。
- 在推广链接显眼处说明跳转来源和隐私说明，避免用户因不明原因出现权限弹窗而怀疑被钓鱼。
- 定期审计你依赖的第三方工具列表，把“免费但闭源/不透明”的服务替换为可控方案。
结语 我承认上头是个教训，但也提醒了我作为内容与流量管理者的责任。技术能带来便利，也能带来隐蔽的成本。把流量掌握在自己手里、用透明的方式处理用户数据，这才是长期获客的可持续之道。如果你也遇到类似困惑，欢迎留言交流你用过的短链服务和检测经验——互相长点心，总比出事了再补救强得多。
