Cách kiểm tra quyền APK trước khi cài đặt (2026)

Quyền APK là những khả năng mà ứng dụng khai báo bên trong gói của nó, như truy cập camera, danh bạ hay SMS. Bạn đọc được toàn bộ danh sách trước khi cài bằng một công cụ kiểm tra quyền. Hãy gắn mỗi quyền với chức năng của ứng dụng và từ chối mọi quyền không có lý do tồn tại.

Bởi Abdul Emam, người kiểm thử APK tại ApkZena. Tôi đã rà soát quyền trên 40 APK vào tháng 8 và tháng 9 năm 2026. Bốn tệp khai báo quyền truy cập SMS dù không có chức năng nhắn tin, và tất cả đều là bản đóng gói lại. Hướng dẫn này trình bày các công cụ cùng những cờ đỏ mà tôi dùng.

Bạn sắp sideload một thứ gì đó và muốn biết nó có thể chạm vào gì trước khi nó chạy. Đó là bản năng đúng. Tôi từng từ chối một ứng dụng đèn pin xin quyền danh bạ, và tôi đã đúng. Tôi hứa sẽ đưa mô hình quyền rõ ràng cùng các bước công cụ chính xác. Bạn sẽ hiểu các loại quyền, những quyền nguy hiểm, cách kiểm tra trước khi cài, cách đọc manifest và cách thu hồi quyền.

Quyền APK là gì?

Quyền APK là những khả năng mà ứng dụng khai báo trong manifest, như đọc danh bạ hay dùng camera. Android gom chúng theo mức rủi ro và xin sự đồng ý của bạn với những quyền nguy hiểm. Danh sách khai báo được lưu trong APK nên hiển thị trước khi cài.

Định nghĩa

Mỗi quyền là một chuỗi dạng android.permission.CAMERA mà ứng dụng khai báo và Android thực thi. Ứng dụng không thể dùng một khả năng mà nó chưa khai báo, và quyền nguy hiểm cần bạn cấp lúc chạy. Đọc danh sách khai báo cho bạn biết chính xác ứng dụng được phép xin gì.

Vì sao chúng quan trọng

Quyền là cây cầu giữa mã và dữ liệu riêng tư của bạn. Phần mềm độc hại giữ quyền SMS có thể đánh cắp mã dùng một lần. Ứng dụng có quyền trợ năng đọc được màn hình của bạn. Những quyền mà ứng dụng giữ quyết định nó có thể gây bao nhiêu thiệt hại nếu hóa ra độc hại.

Bình thường, nguy hiểm và Signature

Quyền bình thường bao phủ hành động rủi ro thấp và được tự động cấp. Quyền nguy hiểm chạm vào dữ liệu riêng tư và cần sự đồng ý của bạn. Quyền signature chỉ được cấp cho các ứng dụng ký bằng cùng chứng chỉ với nền tảng hoặc ứng dụng khai báo, nên các APK thường không có được chúng.

Các loại quyền Android

Android xếp quyền vào bốn nhóm, quyết định cách chúng được cấp và mức độ quan trọng với bạn.

Quyền bình thường

Quyền bình thường bao phủ các hành động rủi ro thấp như đặt múi giờ, dùng internet hay rung. Android cấp chúng lúc cài mà không có hộp thoại. Chúng hiếm khi cần rà soát bảo mật, dù quyền truy cập internet luôn quan trọng vì nó cho phép tải dữ liệu lên.

Quyền nguy hiểm

Quyền nguy hiểm bao phủ dữ liệu riêng tư và tính năng thiết bị: camera, microphone, vị trí, danh bạ, lịch, điện thoại, SMS, nhật ký cuộc gọi, bộ nhớ và hoạt động. Android xin sự đồng ý, thường vào lần dùng đầu. Đây là những quyền cần xem xét từng dòng.

Quyền signature

Quyền signature dành riêng cho các ứng dụng ký bằng cùng khóa với ứng dụng định nghĩa chúng, hoặc với nền tảng. Một APK thường không thể giữ chúng, nên chúng hiếm khi xuất hiện trong một lần rà soát bản đóng gói lại. Sự hiện diện của chúng nghĩa là ứng dụng chia sẻ người ký với một thành phần hệ thống hoặc framework.

Quyền đặc biệt

Quyền đặc biệt rất mạnh và được cấp ngoài luồng hộp thoại bình thường. Chúng gồm dịch vụ trợ năng, quản trị thiết bị, lớp phủ, quyền truy cập sử dụng, cài ứng dụng không rõ nguồn và miễn tối ưu pin. Đây là những quyền mà kẻ tấn công theo đuổi, vì chúng cho phép đọc màn hình và điều khiển thiết bị.

Những quyền nguy hiểm cần đề phòng

Các quyền này mang rủi ro cao nhất trong một ứng dụng sideload. Mỗi quyền đều chính đáng trong ứng dụng đúng và đáng ngờ trong ứng dụng sai.

• Camera: cho phép ứng dụng chụp ảnh và quay video nền.
• Microphone: cho phép ghi âm nền.
• Vị trí nền: theo dõi vị trí của bạn liên tục.
• Danh bạ: đọc toàn bộ danh bạ của bạn.
• SMS: đọc và gửi tin nhắn, gồm cả mã dùng một lần.
• Nhật ký cuộc gọi: đọc và sửa lịch sử cuộc gọi.
• Bộ nhớ: đọc và ghi tệp của bạn.
• Dịch vụ trợ năng: đọc màn hình và thực hiện thao tác.
• Quản trị thiết bị: khóa, xóa và thay đổi cài đặt thiết bị.
• Lớp phủ: vẽ lên trên các ứng dụng khác, gồm cả màn hình ngân hàng.

Một chiếc đèn pin có quyền truy cập bộ nhớ thì ổn. Đèn pin có danh bạ thì không. Hãy gắn mỗi quyền với chức năng. Xem tham khảo đầy đủ trong giải thích quyền APK Android.

Cách kiểm tra quyền trước khi cài

Kiểm tra quyền chạy trên tệp, nên bạn không cần cài gì trước. Năm cách phủ điện thoại, PC và phân tích trực tuyến.

Cách 1: Ứng dụng APK Analyzer

Cài APK Analyzer từ Play Store rồi mở tệp APK. Nó đọc manifest và liệt kê các quyền được khai báo cùng thành phần của ứng dụng. Đây là lựa chọn trên thiết bị nhanh nhất cho một tệp duy nhất và không cần PC.

Cách 2: App Manager

App Manager là công cụ mã nguồn mở hiển thị quyền cho cả ứng dụng đã cài lẫn tệp APK. Mở tệp APK, chạm vào phần quyền rồi đọc toàn bộ danh sách kèm nhóm rủi ro. Công cụ còn cho phép bạn kiểm tra tracker, điều vượt ra ngoài danh sách quyền thô.

Cách 3: apktool

Apktool giải mã APK và tạo ra manifest dạng XML dễ đọc. Chạy apktool d app.apk rồi mở AndroidManifest.xml trong thư mục đầu ra. Cách này cho bạn danh sách khai báo gốc, gồm thành phần và service đã export, rất hữu ích cho rà soát sâu.

Cách 4: Công cụ phân tích trực tuyến

Một số dịch vụ đọc APK được tải lên và liệt kê quyền cùng tracker mà không cần cài. Hãy dùng dịch vụ uy tín và nhớ rằng bản tải lên có thể công khai, nên tránh tệp nhạy cảm. Exodus Privacy, được nêu bên dưới, được xây dựng cho việc này.

Cách 5: Sau khi cài qua Settings

Nếu bạn đã cài ứng dụng, mở Settings, Apps, chạm vào ứng dụng rồi chọn Permissions. Màn hình này cho thấy ứng dụng đang có gì và cho phép bạn thu hồi nó. Đây là bước kiểm tra tốt sau cài, kể cả khi bạn đã kiểm tệp trước.

Cách đọc AndroidManifest.xml

Manifest là căn cước của ứng dụng, còn các quyền được liệt kê dưới dạng mục <uses-permission>. Đọc trực tiếp cho bạn bức tranh đầy đủ nhất.

Cấu trúc

Manifest là tệp XML nhị phân bên trong APK. Nó khai báo tên gói, phiên bản, các thành phần như activity và service, cùng thẻ uses-permission. Công cụ giải mã nó thành XML dễ đọc để bạn kiểm tra mọi khai báo.

Thẻ quyền

Mỗi quyền được khai báo hiện dưới dạng <uses-permission android:name="android.permission.CAMERA" />. Một số ứng dụng dùng maxSdkVersion để giới hạn quyền cho các phiên bản Android cũ hơn. Hãy đọc toàn bộ danh sách cùng các thành phần, vì một service đã export có thể quan trọng ngang một quyền.

Ví dụ

Một bản đóng gói lại tôi kiểm vào tháng 8 năm 2026 khai báo camera và bộ nhớ cho một ứng dụng ảnh, điều hợp lý. Nó cũng khai báo RECEIVE_SMS và SYSTEM_ALERT_WINDOW, hai quyền không phù hợp với trình chỉnh sửa ảnh. Hai dòng đó biến một lần kiểm tra thường lệ thành một lệnh xóa. Trụ cột an toàn khiến danh sách này dễ đọc hơn.

Dấu hiệu đỏ trong quyền APK

Một số mẫu quyền đáng xem xét kỹ bất kể ứng dụng gì. Bốn mẫu này xuất hiện trong hầu hết các bản build độc hại mà tôi rà soát.

Quyền không khớp

Một quyền không phù hợp với chức năng của ứng dụng là dấu hiệu đỏ rõ ràng nhất. Máy tính xin vị trí, game xin danh bạ, hay ứng dụng hình nền xin SMS. Một lần không khớp là đủ để bạn chậm lại và nhìn kỹ.

Quyền quá mức

Một ứng dụng xin đủ thứ là cờ thứ hai. Ứng dụng ghi chú không cần camera, microphone, vị trí, danh bạ và bộ nhớ cùng lúc. Quyền thừa mở rộng thiệt hại nếu ứng dụng độc hại hoặc bị khai thác sau này.

Tracker giấu mặt

Tracker nằm cạnh quyền và đi cùng chúng. Một ứng dụng tiện ích với vài tracker quảng cáo và phân tích cộng quyền rộng là một hồ sơ thu thập dữ liệu. Exodus Privacy liệt kê các tracker được phát hiện bên cạnh quyền.

Truy cập nền

Vị trí nền, microphone nền và miễn tối ưu pin cho phép ứng dụng tiếp tục hoạt động khi bạn không dùng nó. Đôi khi điều đó chính đáng, như với ứng dụng theo dõi sức khỏe, và đáng ngờ gần như ở mọi nơi khác.

Cách thu hồi quyền sau khi cài

Nếu ứng dụng đã có quyền mà bạn không còn muốn, bạn có thể lấy lại. Ba con đường từ đơn giản đến nâng cao.

Settings

Mở Settings, Apps, chạm vào ứng dụng rồi chọn Permissions. Tắt mọi thứ bạn không muốn. Trên Android 11 trở lên, ứng dụng không dùng sẽ tự động bị thu hồi quyền sau vài tháng. Hãy cấp lại khi ứng dụng xin.

App Manager

App Manager có thể thu hồi quyền, tắt thành phần và rà soát tracker trên ứng dụng đã cài. Nó hiển thị chi tiết hơn Settings và cho phép bạn hành động trên từng thành phần. Đây là lựa chọn trên thiết bị mạnh nhất mà không cần PC.

ADB

Để kiểm soát theo kịch bản hoặc từ xa, ADB có thể thu hồi và cấp quyền. Chạy adb shell pm revoke com.example.app android.permission.CAMERA để thu hồi quyền camera. Tham khảo ADB liệt kê các lệnh, còn hướng dẫn cài qua ADB trình bày cách thiết lập.

Các công cụ kiểm tra quyền APK tốt nhất

Bốn công cụ phủ gần như mọi nhu cầu. Dùng bảng để chọn, rồi xác minh từng lựa chọn trên một tệp thật.

APK Analyzer

APK Analyzer là điểm khởi đầu dễ nhất trên điện thoại. Nó đọc manifest và hiển thị quyền, activity, service dưới dạng danh sách gọn. Nó trả lời câu hỏi đầu tiên nhanh, kể cả khi còn tồn tại công cụ sâu hơn.

App Manager

App Manager là lựa chọn mặc định của tôi trên Android. Nó hiển thị quyền, thành phần và tracker, đồng thời hoạt động với cả ứng dụng đã cài lẫn tệp APK. Nó là mã nguồn mở, điều mà tôi ưu tiên cho một công cụ kiểm tra ứng dụng khác. Tổng quan quyền của Google kết hợp rất tốt với nó.

Exodus Privacy

Exodus Privacy phân tích APK để tìm tracker và liệt kê quyền trên web. Đây là lựa chọn tốt nhất khi bạn muốn biết ai nhận dữ liệu của bạn, chứ không chỉ ứng dụng có thể chạm vào gì. Xem báo cáo tại Exodus Privacy.

ClassyShark

ClassyShark là công cụ máy tính để mở APK và duyệt manifest, dex cùng tài nguyên của nó. Nó hợp với những người muốn có một cửa sổ nhìn vào cấu trúc gói bên cạnh danh sách quyền. Đây là công cụ hướng tới nhà phát triển.

Tiếp theo, hãy mở APK tiếp theo bạn tải về trong App Manager hoặc APK Analyzer, gắn mọi quyền với chức năng của ứng dụng rồi từ chối phần còn lại. Rồi chạy kiểm tra chữ ký và quét virus trước khi cài.