由 dawei 鸿蒙系统作为新一代分布式操作系统，其搜索功能依赖于本地索引机制以提升响应速度。然而，近期有安全报告指出部分设备存在搜索索引未正确授权访问的漏洞，可能导致用户隐私数据泄露。该问题主要出现在索引文件未加密且权限控制不严的场景中。
漏洞的核心在于系统默认将搜索索引存储于可被非特权应用读取的目录下，且未对敏感字段进行脱敏处理。攻击者可通过模拟合法应用调用接口，直接读取包含用户历史搜索、联系人关键词等信息的索引内容，进而实现信息爬取。
AI分析图，仅供参考
为快速排查该问题，建议用户立即检查设备上是否存在异常高权限的应用请求访问“/data/system/search_index”或类似路径。可通过开发者选项中的“应用权限管理”查看是否有非系统应用具备读取私有数据的权限。同时，使用ADB命令行工具执行：adb shell ls -l /data/system/search_index，确认目录权限是否过于开放（如权限为777）。
修复方案应从系统层与应用层双管齐下。系统层面，需确保索引文件仅限system或search服务进程访问，通过SELinux策略限制非授权进程读写。应用层面，所有涉及索引调用的API必须增加身份验证机制，禁止匿名访问。同时，对索引内容中的敏感字段实施加密存储，避免明文暴露。
厂商已发布紧急补丁版本，建议用户尽快更新至最新鸿蒙OS 3.1.1及以上版本。若当前无法升级，可通过关闭“允许应用访问搜索历史”功能临时缓解风险。•定期清理搜索缓存并启用设备锁屏保护，有助于降低数据暴露概率。
安全无小事，及时排查与修复是保障用户隐私的关键。保持系统更新，关注官方安全公告，是应对此类漏洞最有效的手段。