本机翻译 App 隐私：离线测试后还要检查什么

问题不只是「断网时能不能翻译」

你在旅途中到药房，用手机拍下一张保险文件的局部，想看懂上面的说明。手机处于飞行模式时，翻译结果仍然出现，于是你判断文件从未离开设备。这个测试确实说明了一件事：在当时普通网络不可用的状态下，这项特定任务完成了。但它不能说明应用此前发送过什么、其他功能是否调用远端服务、本地保存了哪些内容，以及手机恢复联网之后图片或文本会发生什么。

翻译隐私本质上是数据流问题。同一款 App 可能分别处理键入文字、相机图片、语音、语言文件下载、账户功能和跨 App 分享。「离线」「本机运行」和「隐私」是彼此相关但不同的说法，需要分别核验。本地模型推理可以消除该推理步骤把用户内容发送到远程推理服务器的必要性；但这不能证明整个应用没有其他网络请求。还要单独检查资源下载、统计分析、账号服务、崩溃报告和分享路径。

先明确你的威胁模型

测试前先说清要保护什么，以及担心哪些数据路径。旅行翻译中，敏感内容可能是标牌旁边露出的护照号码、处方标签、银行通知、说话者提到的姓名，或者背景里其他人的谈话。风险可能包括：原始文字或图像发送到翻译接口、历史记录同步到账户、设备备份包含翻译内容、日志或通知显示文字、分享结果时选错了接收应用。

这里列的是需要核查的可能路径，不是在声称任何特定翻译器一定这么处理。隐私政策、应用商店的数据披露、权限提示和实际测试能够回答不同问题。单一指标不能证明整个系统私密。特别是，拒绝一个权限只能限制该权限控制的访问，无法解释所有网络流量，也无法说明应用此前已经收集了什么。

三类翻译方式，需要三类证据

这些区别有实际意义。Google 官方说明，在 Android 上下载语言后，特定文字翻译和相机翻译可以离线使用。这只说明文档列出的工作流，不代表每种语言、每个功能或应用之后的网络请求。下载语言文件所用的网络连接，也不同于发送一条翻译请求。请查看Google 翻译 Android 离线说明，确认 Google 当前记录的具体模式和语言范围。

一个实际场景：看懂药房标签

假设你在旅行时要看药品使用说明。若不熟悉某个应用，应使用虚构或脱敏样例，而不是拿真实处方或身份证件测试它会把内容发到哪里。先确认相机翻译是否覆盖你需要的语种组合、是否要先下载资源。在出发前用非敏感样例测试，记录应用版本和设置，并观察恢复联网后发生什么。

即使断网测试成功，也无法据此知道历史记录是否保存、是否有待发送请求、崩溃诊断或可选同步。翻译结果也不能证明原文识别正确。涉及药品说明时，应核对源文字；有歧义就向合格专业人员确认。隐私检查和翻译质量检查是两件不同的事。

一套可复现的隐私审查流程

1. 列出每个功能及其数据

分别记录键入文字、相机翻译、语音输入、对话模式、历史记录和分享。对每项写下语种组合、是否涉及图片或音频、需要什么权限，以及下载资源前后是否可用。如果 App 有多个模式，不要把它们统称成一条翻译路径。

2. 输入敏感内容前先读披露

查看准确 App 及版本的隐私政策和应用商店数据说明，核对收集的数据类型、目的、接收方、保留期限、删除方式、账户同步和第三方 SDK。Android 官方隐私检查清单将权限、数据访问、存储和用户控制视为应用责任。若说明不清，就把未知项记录为未知，不要根据「离线」标签自行补全。

3. 把首次准备流量与翻译流量分开

在新安装或清除应用数据后，记录哪些步骤必须联网：账号初始化、下载语言资源、下载模型、许可检查或其他准备。然后把这些请求与一条新的翻译任务分开。使用非敏感样例文字或虚构图片。一次性下载不能证明翻译输入会上传；断网时翻译成功也不能证明应用从不发网络请求。

4. 按模式逐项测试新的离线任务

准备好所需资源后，通过设备的常规网络设置断开连接，并尝试新的任务，而不是打开历史结果。若计划使用文字、相机和语音，应分别测试。记录 App 版本、设备、语种、功能模式和结果。某一模式失败就记录该限制；某一模式成功也不能推广到其他模式。

5. 恢复联网并观察后续行为

恢复连接后再次检查应用。是否显示同步设置、待发送项目、登录提示或不同的历史状态？还要核对隐私说明中关于统计、崩溃报告和备份的部分。如果你检查的是自己的应用或可调试构建，Android Studio Network Inspector可以显示受支持请求何时发送和接收数据。它不会自动解释每个加密载荷的含义；无法识别某种请求，也不代表请求没有发生。若你无法检查第三方应用的内部流量，就依据公开披露和应用提供的控制，并明确记录仍然未知的内容。

6. 检查本地留存、分享和删除

查看历史记录、图片缓存、剪贴板、导出、账户同步和系统备份选项。可用非敏感测试项试着删除一条记录，确认它是否从应用可见历史中消失。但这不证明服务器或备份中的副本都已删除；相关结论应以应用的删除说明为依据。分享翻译前先检查接收应用，内容一旦交给其他应用，就受其存储和隐私行为影响。

验收标准

只有在范围写清楚时，才可以说某项翻译流程完成了核验：

• 功能范围明确： 分别记录文字、相机和语音模式，并标注应用版本、语种组合、资源状态和测试条件。
• 披露范围明确： 当前隐私政策和应用商店说明指出数据类型、用途、接收方、保留期限和第三方组件；缺失信息明确标为未知。
• 网络范围明确： 用全新任务测试断网状态，并在重新联网后再次观察行为。对请求按现有证据分类，不把一次测试表述成永久零上传保证。
• 存储范围明确： 把历史记录、导出、备份与模型推理分开检查。数据处理方式尚未弄清时，不用敏感内容做试验。

有任何一项未知，诚实结论就是「尚未针对这个功能和版本完成验证」。在确定数据路径之前，可以改用不敏感样例、其他工作流或人工帮助。

常见误区

把飞行模式测试当作完整隐私审计。 它检查的是断网时的行为；不能显示此前的请求、排队事件、诊断信息、备份内容或重新连接后的活动。

以为所有翻译模式都共用同一后端。 文字、相机、语音和对话模式可能走不同路径。只测你准备依赖的模式，不要把结论套用到其他功能。

把权限开关当成网络监视器。 权限控制某类设备数据访问，但不会列出网络目的地，也不会解释应用发出的每个请求。

用最想保护的那份文件做测试。 处理方式尚未清楚前，请使用虚构或脱敏样例。否则测试本身就可能暴露你想保护的内容。

常见问题

飞行模式下能翻译，能证明我的数据从来没有上传吗？

不能。它只证明普通网络不可用时，这项测试任务完成了。它本身不能说明之前的准备请求、其他功能、历史记录、排队事件或恢复联网后的行为。应逐项检查。

下载语言包是否意味着翻译完全私密？

不能。语言文件可以支持文档明确列出的某种离线模式，但下载本身需要网络，应用的其他功能也可能走单独的数据路径。先确认官方资料中具体语种与功能范围，再测试自己正在使用的 App。

只读隐私政策，能判断应用是否本机运行吗？

隐私政策说明服务商声明收集什么、如何处理，但它不是某次操作的实时流量记录。应结合当前披露和按功能的测试。如果无法检查应用或调试版本，就记录这一限制，不要把缺少证据当成没有上传的证明。

本机模型能阻止应用的一切网络请求吗？

不能。本地推理可以避免该推理步骤必须把内容发送到远程推理服务器，但应用仍可能下载资源或使用其他网络服务。应分别核验这些路径。

用本机翻译医疗或法律文件就安全吗？

本地处理可以减少推理时向远程服务器传送文件内容的需要，但不能说明应用完整的数据处理方式，也不能保证译文正确。请核验整条工作流，并让合格人员复核重要含义。

官方资料与延伸阅读

Android 官方隐私检查清单涵盖权限、数据访问、披露和用户控制。Network Inspector 指南说明开发者如何在自己的应用构建中检查受支持的网络请求。Google 官方记录了Android 已下载语言的离线翻译范围。关于功能取舍，可继续阅读离线翻译 App 指南和旅行翻译器隐私与云端对比。

更新于 2026 年 9 月 27 日。 本文介绍核验方法，不认证任何具体 App 当前的数据处理行为。

中文稿状态：待项目负责人复核。