一张截图就能看懂：这种“私信投放”看似简单，背后却是你以为删了APP就安全，其实账号还在被试；立刻检查这三个设置

那张看似普通的私信截图：某品牌悄悄发来促销链接、或者看起来像朋友的账号突然私信你。一删应用就万事大吉？并不。很多投放和追踪并不是单靠“装/卸载”就能断掉的——OAuth 授权、已连接的第三方应用、系统级权限与广告标识符，都可能在后台继续给投放方留着通路。下面把最容易被忽略、但立刻能查的三项设置列出来，照着做，一步步把“后门”关掉。

先花 5 分钟自查的快速清单（建议按序进行）

• 立刻进入各平台的“已连接应用 / 登录会话”页面，注销可疑项。
• 检查私信与消息接收权限，把“任何人可发私信”之类的选项关掉。
• 查看系统级权限（短信、联系人、通知、辅助功能）并重置广告标识符。

一、登录授权与已连接应用（为什么会留下“后门”） 为什么要看： 很多第三方应用或服务通过 OAuth 获得长期访问权（例如读取私信、代表你发消息、访问联系人等）。删除手机上的客户端并不会自动撤销这些令牌；攻击者或商家可以通过仍然有效的授权继续操作。

如何检查（关键操作）

• Facebook / Instagram（Meta）：
• 设置 > 安全与登录 > 在哪些设备登录（强制退出可疑会话）；设置 > 应用和网站 > 删除不认识或不再使用的应用；检查页面角色与广告账户权限。
• Google（Gmail、YouTube 等）：
• Google 账户 > 安全 > 第三方应用具有账户访问权限，撤销不需要的应用；检查“设备活动与安全事件”。
• X（Twitter）：
• 设置与隐私 > 安全和账户访问 > 应用与会话，撤销授权与登陆会话。
• TikTok / 其他：
• 设置与隐私 > 安全 > 管理设备 / 已连接应用，注销陌生设备和应用。

操作提示

• 一键“退出所有会话”后，修改密码并开启两步验证，避免旧令牌立刻被再次利用。
• 检查“业务集成”“API 密钥”“页面/账号角色”类入口，尤其是在 Facebook 商业管理平台里。

二、私信/消息接收设置（把“陌生人进门”的钥匙拿走） 为什么要看： 很多平台允许“任何人给你发私信”或将某些商业账号标记为可发送消息。即便你删了客户端，平台端的消息策略仍然可能允许对方发起私信或消息请求。

要检查的点

• 关闭“允许来自任何人的私信”或将消息过滤到“请求/其他”中。
• 关闭商业消息、营销消息或“通过 API 向你发送消息”的权限（若平台有此类设置）。
• 对有“消息请求”或“消息过滤”功能的平台，打开并严格设置为只收关注者/好友消息。

主要平台操作要点

• Instagram：设置 > 隐私 > 消息，调整谁可以向你发送消息、谁能将消息直接放入收件箱。
• Facebook Messenger：隐私设置 > 消息请求 > 更严格过滤。
• TikTok：隐私 > 谁可以给我发私信 > 选择“好友”或“关闭”。
• X（Twitter）：设置 > 隐私与安全 > 直接消息，关闭“允许任何人发私信”。
• 对微信、WhatsApp 等，要检查是否与第三方插件、公众号或企业号有授权关联。

三、系统权限与广告/设备标识（系统级的“追踪口子”） 为什么要看： 移动设备的系统权限（短信、联系人、通知、辅助功能）和广告标识符（Advertising ID / Identifier for Advertisers）能提供持续信息或让应用继续识别你。删应用后，如果不撤销这些权限或不重置标识符，某些追踪仍可生效。

关键检查点及操作

• Android：
• 设置 > 应用 > [已卸载/仍在的应用] > 权限，撤销敏感权限（短信、联系人、通知、相机、麦克风等）。
• Google 设置 > 广告 > 重置广告 ID，并开启“选择退出基于兴趣的广告”。
• 设置 > 安全或账号 > 管理已登陆设备，删除不认识的设备。
• iPhone / iPad：
• 设置 > 隐私与安全 > 跟踪，关闭“允许运用请求跟踪”或对可疑应用关掉跟踪权限。
• 设置 > 隐私与安全 > 广告 > 重设广告标识符并关闭个性化广告（如果系统提供）。
• 设置 > 通知 / 联系人 / 照片 等，逐一检查并撤销不必要权限。
• 其他：
• 检查是否有“可访问性服务”被授予给未知应用（部分恶意/辅助应用会通过可访问性服务读取屏幕内容或自动操作）。
• 查看是否有短信或邮件自动转发规则（Gmail 的自动转发、邮件过滤器）被篡改。

额外两步：锁好入口与留存证据

• 开启两步验证（2FA）：手机号或认证器优先，避免只靠短信的账号恢复方式。
• 更换密码并使用密码管理器生成独一无二的密码。
• 检查账号活动日志（登录历史、登录地）并截图保存可疑活动，必要时联系平台客服提交申诉。
• 如果怀疑账号被用来测试投放或自动群发，暂停与该账号相连的支付方式/广告账户，并核查账单。

如果仍然不放心

• 将平台的隐私设置都调到最严格，例如把账号设为私密、只允许好友关注/私信。
• 必要时联系平台支持，提供可疑私信截图和活动记录，要求他们检查是否存在异常 API 调用或第三方接入。
• 对于企业号或曾绑定过第三方工具的账号，考虑完全撤销所有开发者/第三方集成，再重新一项项按需授权。