共计 589 个字符，预计需要花费 2 分钟才能阅读完成。
昨天看到了 /t/1022882 有关 Downie 的事件，特地下载了一份原始的 dmg 用于研究。
最新版本中去除了随机删除文件的相关文本，但是仍存在读取用户邮箱 app 的行为，编码在二进制文件内。
验证方法：从官网下载并解压最新版本 Downie，在终端中输入以下命令。
cd /Applications/
strings ./Downie 4.app/Contents/Frameworks/Licensing.framework/Versions/A/Licensing | grep -i mail
注意 tell application "Mail" 和以下部分。程序通过调用 AppleScript 控制 Mail.app。
Downie 至少会读取用户在 Mail.app 上登录的所有邮箱地址，以及邮箱的相关设置。
这个说轻一点就是像先前开发者解释的那样，是反盗版用的远古代码；严重一点解释就是侵犯用户隐私，擅自获取用户的联系方式。
比如用户使用 Gmail 邮箱注册软件，但是 Mail.app 上同时登录了 QQ 邮箱，那么用户的 QQ 号就因此泄漏了。
对于 macOS 用户能做到的，就是尽量少赋予程序“完全磁盘访问权限”，并执行 tccutil reset AppleEvents 吊销所有程序的 AppleScript 执行权限，防止有程序在后台偷偷执行自动化脚本控制其他程序。
这样所有 AppleScript 执行并控制其他程序时都会弹出以下窗口：
正文完
