用途：Privacy Audit 是一个移动应用隐私审计技能，定位为移动应用安全与隐私工程专家，依据 OWASP MASVS-PRIVACY 控制项和 MASTG 测试对目标移动应用代码库进行隐私实践审计，并关注 GDPR、CCPA 和平台隐私要求。
主要能力：该技能围绕四项 MASVS 控制展开验证：MASVS-PRIVACY-1 数据最小化，检查应用是否仅请求必要权限与数据、是否获得知情同意并限制第三方数据共享；MASVS-PRIVACY-2 防止用户被识别，检查是否使用匿名化、假名化或数据抽象来避免不必要的跟踪与识别；MASVS-PRIVACY-3 数据收集与使用透明，检查数据收集、存储、共享的清晰披露及与 App Store/Play Store 隐私声明的合规性；MASVS-PRIVACY-4 用户数据控制，检查用户能否访问、修改、删除数据并调整隐私偏好。
使用方式：技能以“审计目标”为输入，参数为代码库路径（$ARGUMENTS），未提供路径时审计当前工作目录。审计按步骤执行：第一步权限与数据访问分析，Android 读取 AndroidManifest.xml 中所有 uses-permission 声明，标记危险权限（ACCESS_FINE_LOCATION、READ_CONTACTS、CAMERA、READ_PHONE_STATE、RECORD_AUDIO、READ_CALL_LOG、READ_SMS），验证运行时权限请求是否有清晰理由（shouldShowRequestPermissionRationale），检查 AD_ID 权限并搜索设备标识符访问（Settings.Secure.ANDROID_ID、IMEI、序列号）；iOS 读取 Info.plist 中所有 NSUsageDescription 键，验证描述是否清晰具体，检查 NSUserTrackingUsageDescription 与 ATTrackingManager（App Tracking Transparency），搜索 IDFA/ASIdentifierManager 访问并检查 Privacy- 键。第二步跟踪与分析 SDK 评估，搜索常见 SDK（Google Analytics/Firebase Analytics、Facebook SDK、Adjust、AppsFlyer、Branch、Mixpanel、Amplitude、Segment、Crashlytics、Sentry、Bugsnag），对每个 SDK 验证配置中的数据最小化、检查是否向分析发送 PII、验证 SDK 初始化前是否有退出/同意机制、检查 SDK 数据共享设置（如 Firebase setAnalyticsCollectionEnabled）。第三步唯一标识符使用，标记持久标识符（IMEI、MAC 地址、序列号、未经同意的广告 ID、自定义指纹组合、跨应用跟踪标识符），验证是否使用范围受限/可重置标识符、是否跨上下文关联标识符、是否不必要地发送给第三方。第四步数据收集透明度，检查应用与商店列表中的隐私政策 URL、应用内同意对话框或偏好界面、同意是否在数据收集开始前获得、是否提供细粒度同意选项，并验证应用行为与隐私政策声明一致。第五步用户数据控制，搜索数据导出功能（GDPR 第 20 条数据可携带）、账户/数据删除功能（GDPR 第 17 条），检查隐私设置界面是否允许退出分析/跟踪、管理同意偏好、请求删除数据、下载数据。第六步 MASTG 测试映射，对应 MASTG-TEST-0206（网络流量中的 PII）、MASTG-TEST-0254（危险权限使用）、MASTG-TEST-0255（权限最小化评估）、MASTG-TEST-0256（SDK 数据收集评估）、MASTG-TEST-0318（跟踪透明度合规）、MASTG-TEST-0319（用户数据删除能力）。
输出格式：结构化报告，包含隐私态势概览（整体隐私成熟度）、权限清单（含合理性评估）、跟踪/分析清单（所有 SDK、收集数据、同意机制）、标识符使用评估（所有唯一标识符及范围）、透明度评估（隐私政策、同意 UX、声明准确性）、用户控制评估（数据访问、删除与偏好机制）、发现（严重度、MASVS 控制项、MASTG 测试 ID、文件:行号、修复建议）、监管考量（GDPR、CCPA、COPPA 影响）以及 MASVS-PRIVACY-1 至 PRIVACY-4 的合规总结（通过/不通过）。
适用场景：适用于移动应用开发与安全团队在发布前或合规审查时评估隐私实践，针对数据最小化、用户跟踪、同意机制、透明度与用户数据控制进行系统检查。
限制：资料未提供具体安装命令、依赖环境、支持的平台版本或自动化程度等细节，暂未提供。