《Pokémon Go》是任天堂 Pokémon（中译名口袋妖怪、宠物小精灵、精灵宝可梦）系列的最新游戏，由 Niantic Labs 联合开发，也是之一款 Pokémon 手游。不需多说，看到这篇文章的你，多半正在玩或者已经下载好了游戏。可是这款游戏在国外网友眼中手机上要的权限未免过大了，我想这篇文章你看完，可能会想，这在中国的应用市场根本不算什么，要权限算什么？一起来看看权限在手机上能干什么。

国外玩家发现，《 Pokémon Go》存在严重的账户安全风险。

游戏提供两种登陆方式：Google 或 Pokémon 训练师俱乐部（pokemon.com）。在欧美几乎人人都有 Google 账户，而之前 pokemon.com 由于技术故障无法接受新用户注册，因而大部分玩家都在用 Google 账户登陆。

国外玩家 Adam Revee 注意到，使用 Google 账户登陆之后，《Pokémon Go》直接获取了 Google 账户的“完整账户权限”（full access）。Adam Revee 在自己的博客上记录了这一发现，被 Twitter 上的数据安全大号@SwiftOnSecurity 转发，引起了安全界的广泛关注。

我在手机上检查了自己的账户，发现《Pokémon Go》的确标记为拥有整账户权限，相同待遇的只有 Chrome 浏览器。

为了重现这个事件，我打开游戏，抓了附近的两只小精灵，等完服务器同步（存盘）的过程，然后打开菜单，注销（sign out）自己的账号，退出游戏。接下来，我点击上面的 Remove 按钮撤销了“Pokemon Go Release”的权限。

然后我重新打开游戏，并使用 Google 账户登陆。更严重的问题出现了：输入 Google 账户→输入密码并确认后，直接进入了游戏的读取界面，并没有弹出一个权限确认的菜单。