调查｜联合贷出资10%、信息一揽子授权 小米随星借这波操作引费解

年终将至，各类网贷公司开始密集行动。近两日，北京商报记者接到自称小米随星借的营销电话，对方称考虑用户年底消费需求较多，小米随星借特推出了提额降息活动，需记者当天内操作小米随星借贷款，对方可电话实时解惑。

小米随星借，原“小米贷款”，现为天星金融旗下信贷服务。在业务员邀请下，北京商报记者尝试了贷款操作，但发现多个费解之处：在小米随星借贷款过程中，竟需一键同意一揽子个人信息授权，另外，该产品采用联合贷模式，小米小贷10%的出资比例也引发争议。

联合贷中出资仅10%

回应正在调整切换

“我们现有贷款提额活动，降息空间很大，期限只到今天，需要您今天之内提出来……”11月30日晚，北京商报记者收到自称小米随星借业务员的营销电话，在业务员引导下，记者打开了小米随星借产品，显示贷款额度为10000元，不过在提额过程中，却遇到了几个引人费解的操作。

贷款模式方面，小米随星借目前主要采用联合贷/助贷模式。以北京商报记者贷款10000元为例，年利率21.6%，贷款期限分为6个月、9个月、12个月三档。在记者选择相应期限和贷款金额，并需一键点击同意十余项协议，填写个人工作、联系人、居住地等信息后，方可进行提额。

操作过程中，不知为何，信息审核数分钟后，页面再次跳转至初始借款页面，北京商报记者重新操作后，发现平台再次提示记者需同意相关贷款协议，不过这一次是借款合同。从合同内容来看，主要是中银消金与小米小贷两家公司提供贷款服务，其中，中银消金贷款金额9000元，出资占比90%；而小米小贷出资1000元，比例仅占10%。

对于联合贷，业内并不陌生，但对其中出资比例，近两年监管也在不断规范。早在2020年底，央行、银保监会曾发布《网络小额贷款业务管理暂行办法（征求意见稿）》，明确在单笔联合贷款中，经营网络小额贷款业务的小贷公司的出资比例不得低于30%；此后2021年初，银保监会进一步规范商业银行互联网贷款业务的通知中再度强调，商业银行与合作机构共同出资发放互联网贷款的，应严格落实出资比例区间管理要求，单笔贷款中合作方出资比例不得低于30%，不过由2022年1月1日起执行。

由此来看，小米随星借后续将面临出资调整，从期限来看，调整时间将不足一个月。

对此，12月2日，北京商报记者向中银消金、小米随星借两方进行采访，其中，中银消金回应到，目前公司的出资比例符合银保监会要求，另考虑到监管要求，其已与合作方约定将在2022年1月1日前完成出资比例调整。

小米随星借也回复道，“在联合贷业务上已经按照监管方向，正在进行平稳有序的调整和切换，预计从2022年1月起，在单笔联合贷款中，随星借的出资比例将符合相关监管要求。”

一揽子信息授权

引人费解

小米随星借另一引人费解的操作是信息授权。

北京商报记者在亲测过程中，发现小米随星借产品需要用户授权一揽子协议，其中包括小米贷款人行征信查询授权书、锡商银行个人征信授权书、苏银消金信息查询授权书、小米消金循环授信额度合同、小米消金个人征信授权书、个人征信查询及使用授权书及其他相关协议等。

除此之外，在申请提额的过程中，北京商报记者进一步发现，除了前述协议外，记者还需再次同意中银消金、小米小贷及天星支付公司的相关协议。

其中，协议提到，借款人需同意向贷款人的关联公司及合法留存借款人信息的自然人、法人以及其他组织收集与贷款相关的借款人信息。另在收集的信息中，还涉及借款人的财产信息，包括但不限于借款人的个人经营情况、财税信息、房产信息、车辆信息、基金、保险、股票、信托、债券、互联网金融等投资理财信息及负债信息等。

对于一揽子信息授权，小米随星借回复北京商报记者，“此举合理合规，符合法律法规相关规定，符合行业监管要求，并且也是行业常规做法。在联合贷的业务模式下，为了更好地向客户提供信贷服务，满足客户的借款需求，在获得客户授权情况下，帮助客户向合作的资金方进行授信借款申请。”

不过，需要注意的是，根据央行发布的《个人金融信息保护技术规范》，在信息使用上，原则上不应共享、转让、公开披露其收集的个人金融信息；另自11月1日起，《个人信息保护法》正式施行，明确收集个人信息，应当限于实现处理目的的最小范围。

而小米随星借此番一揽子信息授权及关联收集，也被业内指出存“合规压力”。

正如易观高级分析师苏筱芮看来，一键授权不利于平台如实、详细对金融消费者披露各类信息，其中可能存在少披露、不披露等情形，会加剧个人信息面临的风险。

此外，中南财经政法大学数字经济研究院执行院长、教授盘和林指出，从收集的信息来看，对于小额信贷来说，或超出了最小和必要范围，不过，他也补充道，“现阶段对于信息收集，只是提出了最小、必要信息的总原则，具体哪些信息收集算违规，在具体执行中依然缺少细节。但若要同步到关联方、合作机构，这个问题也需要向用户明确指明关联方是谁。用户的授权必须要有清晰的指向。”

北京市中闻律师事务所律师李亚则进一步提到，一键同意与贷款无关的公司个人信息授权是不合理不合规的操作。同步被授权提供至关联方等会存在使用户个人信息泄露的风险，同时也侵犯了用户个人的隐私权、知情权、决定权。根据《常见类型移动互联网应用程序必要个人信息范围规定》中对网络借贷类必要个人信息的范围要求，小米随星借收集借款人的各项财产信息，明显超出了必要个人信息的范畴，也不符合法律法规对最小必要的规定。

对于业内质疑，小米随星借进一步回应北京商报记者，“在《个人信息保护法》生效之前，随星借进行了全面并且细致的对照检查，做到合法合规。根据相关法律法规，在客户申请贷款时，贷款人为了评估借款人的资质、授信额度、还款能力，降低欺诈或骗贷风险，本着最小、必要原则，在客户授权的情况下去收集信息，符合法律法规相关约定。”

“断直连”大势下

整改存压

需要注意的是，2021年7月，监管要求网络平台实现个人信息与金融机构全面“断直连”，按照个人征信业务整改工作要求，平台机构在与金融机构开展引流、助贷、联合贷等业务合作中，不得将个人主动提交的信息、平台内产生的信息或从外部获取的信息以申请信息、身份信息、基础信息、个人画像评分信息等名义直接向金融机构提供，须实现个人信息与金融机构的全面“断直连”。

对于“断直连”一事，小米随星借未对北京商报记者作出相应回复。但在业内看来，小米随星借后续的产品调整，任重而道远。

“监管层明确要求‘断直连’，信息是以‘小贷-征信机构-金融机构’的路径来实现传递的。小米随星借有个关键是，小贷公司有可能将敏感信息提供给不相关的企业，可能导致信息传递过程不可控。”盘和林说道，在他看来，后续小米随星借，首要注意的是个人隐私保护，需要建立信息传递链路，优化征信信息收集种类，尤其是要尊重用户的知情权和同意权。

“此外还要注意产品资金来源透明度。当前对信贷资金来源监管穿透是大方向，对复杂的金融联合产品、嵌入式产品，该停就停，要实施品牌隔离，通过资金来源区分自营、联合贷和助贷业务，明确信贷权责。”盘和林强调。

苏筱芮则指出，小米随星借后续在金融营销宣传上，应强化相关的宣传规范并如实向金融消费者披露各类监管要求的信息；在个人征信方面，需要遵循监管关于“断直连”的规定，需置于个人征信业务管理的整体框架下，按照“平台-征信机构-金融机构”的业务合作流程进行整改；此外还要健全服务外包管理制度，审慎选择外包服务提供商，厘清各方权责以避免在遇到问题时对金融消费者“甩锅”。

北京商报记者刘四红

小米12 Pro评测：配置拉满了但没了吸引力

在小米12系列正式发售近两周之后，各大国内手机厂商的全新一代骁龙8移动平台旗舰新机也均已发布完毕，因此我们现在不妨坐下来结合各家旗舰机型的实际体验，来深度地聊一聊小米12P的实际使用体验。

出色的握持感数字旗舰的外观革新小米12P的外观设计可以说是目前新款旗舰当中非常优秀的一类，圆润的机身后盖与曲面的屏幕设计结合让小米12P拥有了出色的握持感。正面屏幕表面选择了采用康宁大猩猩玻璃Vi覆盖进行保护，背面机身后盖则为旗舰手机中常见的AG玻璃。

虽然说小米12P的整体机身材质均为当下的一流水准，但是仍需要指出通过实际体验与对比可以发现小米12P在整体机身的质感方面距离目前市面上的一些旗舰机型仍有一定的差距。

小米12P的机身重量为205、机身厚度为8.16，这在目前已经发售的旗舰手机而言是一种中规中矩的水平，谈不上轻薄，但是也并不过于厚重。对于喜欢轻薄手感的用户而言，同系列的小米12或许是更好的选择。

小米12系列的后置摄像头模组设计在一定程度上削弱了主摄镜头过大所带来的“凸起”感，同时也避免了后置摄像头模组面积过大对于机身后背空间的侵占，从而让用户在横握手机时的握持感更为舒适。配色方面，小米提供了提供紫色、蓝色、黑色和素皮版本的原野绿配色，四种配色供用户选择。

小米12P配色选择

素质优异但仍需调教搭载三星E5屏幕屏幕对于智能手机而言是最为重要的部件之一，人与手机之间大部分的信息交互都是通过手机屏幕来完成的。作为一款定位旗舰的2022年新机，小米12P的屏幕配置自然是当下安卓手机中的顶级水平，其采用了搭载了6.73英寸E5材料OLED屏幕，分辨率为2K，支持10i色深和LTPO1~120Hz智能动态刷新率，拥有小米自研的智能动态刷新率技术。

小米12P屏幕参数

从参数角度而言，小米12P的屏幕硬件可以说无可指摘。对于其屏幕素质表现如何，小米官网已经进行了详细的介绍，这里也无需我再多言，因此我打算谈一下这块屏幕的实际使用体验。

在屏幕设置选项中，小米12P的用户选择自由度非常高。小米12P和前代机型一样提供了生动、鲜艳、原色三种色彩模式，大家可以根据自己的喜好来选择相应的色彩模式，同时小米也提供了可以根据光照环境调整屏幕色彩显示的真彩显示模式。

屏幕色彩选项

在屏幕分辨率方面，用户可以在FHD+、WQHD+以及WQHD+智能省电之间进行选择，从而满足不同用户对于画质以及续航的需求。在屏幕刷新率的设置中，我发现了很有趣的一点，小米除了提供传统的智能刷新率选项之外，还有一个自定义刷新率的选项，用户可以在60Hz、90Hz、120Hz之间来设定三档不同的最高刷新率，这一设计可以说充分满足了不同的用户的使用需求，同时也兼顾了大多数用户的日常实用习惯，更是贯彻了小米设计MIUI时的“开关精神”。

屏幕刷新率选项

由于小米12P的屏幕支持1~120Hz的LTPO动态刷新率技术，同时小米在系统层面也搭载了自研的智能动态刷新率技术。对于LTPO技术的用途我想已经不需要再进行重复了，对于目前安卓旗舰手机而言如何充分利用好LTPO技术是一个不小的难题。

在实测体验中我们发现，在设置界面等系统UI下小米12P均可以实现10Hz至120Hz屏幕刷新率的顺滑切换，在游戏场景下也基本可以做到与游戏帧率相匹配的实际刷新率。同时在大多数应用场景中，图文场景下小米12P也能够实现10Hz至120Hz的切换，在视频场景下则多以常见的60Hz刷新率进行展现。

UI界面以120Hz显示

游戏画面以90Hz显示

不过在原本给予厚望的本地视频播放环节，小米12P并不理想。在播放24帧的本地4K视频时，小米12P前台显示的屏幕刷新率为30Hz；在播放60帧的本地4K视频时，小米12P前台显示的屏幕刷新率为60Hz；120帧的本地4K视频时，小米12P前台显示的屏幕刷新率则仍为60Hz，并未达到设想中的120Hz。由此可见，小米12P针对视频播放时的刷新率变更进行了一定的适配，但是仍存在一些问题。

24帧视频画面以30Hz显示

搭载性能三角但“保守”得让人失望极致的性能表现对于小米的数字旗舰手机而言一直以来都是其面向外界的“标签”之一，然而小米12P似乎失去了这一“标签”。硬件层面，小米12P的配置可谓是相当顶级，其搭载了由全新一代骁龙8移动平台+LPDDR5满血版+UFS3.1的顶级性能组合，并同时配备了VC液冷立体温控散热系统。

小米12P的实际性能表现可以用非常的“保守”来进行形容，首先我们先来看一组安兔兔跑分数据：

小米12P性能模式24摄氏度室温93.9万分；

小米12P极致模式24摄氏度室温94.3万分；

小米12P极致模式0摄氏度左右101.2万分。

极致模式下安兔兔跑分成绩

可能是受前代机型散热问题的影响。小米12P采用了更为保守的性能调度策略。在对于游戏性能而言毕竟关键的3DMk的WiLif测试中，小米12P的得分为9199分，并未达到全新一代骁龙8移动平台新机的最高水平。

3DMkWiLif跑分成绩

在热门手游《英雄联盟》的测试中，画质选项设置为高画质和90帧，在此设置下通过PfD记录的游戏画面数据显示，小米12P能够以平均90.4帧的出色帧率水平稳定运行对手机性能具有一定要求的《英雄联盟》高帧率模式。

《英雄联盟》画质设置

PfD记录的帧率数据

在大家喜闻乐见的手游《原神》的测试中，画质选项设置为极高画质和60帧。在小米均衡游戏模式下，实测帧率为35帧，测试过程手感机身发热轻微；在小米性能模式下，实测帧率为57.9帧，测试过程手感机身发热明显。

开启游戏性能模式

《原神》画质设置

PfD记录的帧率数据

在15分钟高强度的游戏实测之后，经过测量小米12P后盖的平均温度为44.6摄氏度，能够看出小米12P进行了非常严格的整机温控限制。

机身后盖温度数据

因此对于重度游戏玩家而言，需要在开启极致性能模式并搭配散热背夹使用的情况下才能获得最佳的手机性能释放，而在其它情况下小米12P将会以一个相对保守的性能水平运行。采用保守的性能调度策略对于大多数用户而言可能非常适宜，但是对于部分想要最新最极致性能体验的小米用户而言，则有些让人失望。

超大底主摄传感器“索”味十足的摄影体验影像体验对于旗舰手机的重要性不言而喻，本次小米12P也搭载了非常“有趣”的后置三摄配置分别为：

5000万广角主摄：SONYIMX707丨7P丨f/1.9大光圈丨等效24焦距

5000万人像主摄：三星JN1丨5P丨f/1.9光圈丨等效48焦距

5000万超广角主摄：三星JN1丨6P｜f/2.2光圈｜115°超广视角

小米12P后置摄像头模组配置

关于小米12P采用了哪些先进的成像技术，这里就不为大家重复介绍了，感兴趣的读者可以去小米官网自行了解，我们直接来谈实拍体验。

首先要讲的自然是最常用的广角主摄镜头，在实际的拍摄体验中可以明显感受到IMX707的强大性能，从样张中能够看到小米12P的主摄在日间的成像画面清晰锐利，细节丰富。

小米12P主摄样张

小米12P主摄样张

其实对于这一档次的旗舰手机而言，主摄在日光环境下一般都能达到非常好的成像效果，真正考验其成像水平的是在暗光环境下进行拍摄。不知是不是由于搭载了索尼旗舰级传感器的原因，这代小米12P在夜景拍摄时的感觉与索尼的DC相机非常接近，都是快速且清晰的成像风格，算法痕迹相比其它机型少了很多。

小米12P主摄样张

小米12P主摄样张

小米12P主摄样张

等效50的长焦人像镜头是我个人毕竟期待的镜头，不过在实测中我发现虽然说这颗2X镜头的像素很高，但是实际拍摄体验与前几代并没有太大的差别，整体上表现中规中矩并没有给人特别惊喜的感觉。

小米12P长焦样张

小米12P长焦样张

5000万像素的超广角镜头原本可以说是小米12P的一大亮点，但是在实际的拍摄中，这颗超广镜头的表现并不理想，特别是在夜景场景下的表现尚未达到了旗舰手机的水准。

小米12P超广角样张

小米12P超广角样张

小米12P超广角样张

小米12P超广角样张

搭载小米自研芯片120W澎湃秒充实测本次小米12P首发了一颗小米自研的“小芯片”——澎湃P1，通过这颗芯片小米12P得以支持了120W小米澎湃秒充功能，实现了4600Ah单电芯大容量电池+120W小米澎湃秒充的快充组合。

澎湃P1

经过实测从1%电量开始使用原装120W小米澎湃秒充套装将小米12P充满需要22分钟左右。值得一提的是，本次小米12P随配的120W充电器采用了USB-A接口，充电线为USB-AUSB-C数据线，与市面上常见的USB-CUSB-C数据线并不通用，这就意味着用户需要使用原装120W快充套装才能实现最快的充电速度。

30分快充测试数据

总结从这次深度体验中能够发现，小米12P在硬件配置上可以说做到了2022年旗舰手机的“天花板”水准，但是却因为这样那样的问题导致整体的体验相比上代旗舰机型并没有过大的提升。

简单而言便是小米12P是一部符合旗舰标准的新机，但是其缺乏让人想要换机的吸引力。对于此前一直使用中端和入门级手机的用户，以及正在使用2年以前安卓旗舰手机的用户来说，小米12P是很不错的升级选项；但是对于正在使用2021年旗舰手机的用户而言，并没有太过强烈的理由来购买小米12P。

(7855426)

金融App谁家账户密码安全有隐患？新浪分期和浪小花测评垫底

随着一批批移动金融A备案名单出炉，规范金融数据安全也成为2020年上半年金融科技监管工作的主旋律，尤其密码防护、个人信息安全等方面，是治理的聚焦点。为给金融A治理工作进一步提供参考，南都金融合规研究课题组，以去年11月央行下发的《移动金融客户端应用软件安全管理规范》为依据，从消费者角度，针对64个主流移动金融A，围绕身份认证、密码操作和个人金融信息展示等维度进行实测，形成“2020财经半年报”之移动金融A账户密码安全合规榜。结果显示，近七成所测A在登陆、交易页面存在密码安全隐患。

南都金融合规研究课题组参考《移动金融客户端应用软件安全管理规范》（以下简称“规范”），设定了包括身份认证安全、密码操作安全和个人金融信息展示安全在内的3个一级维度、29个分项指标。通过下载、注册、实操使用等环节，对64个常用的移动金融A进行了两周的专项测评，主要涉及互联网公司旗下互金A22个、金融科技公司旗下互金A19个、消费金融公司A23个。

近两成被测移动金融A账户安全不及格

从整体排名情况来看，分数在80分以上的被测互金A与分数未达到60分的各占近两成。在“相对优秀生”中，60%以上都是持牌金融机构的消费金融公司旗下A；而在“相对后进生”中，近60%都是互联网公司旗下的A。

百度系的两款A“有钱花”和“度小满金融”拔得头筹，“支付宝”位列第6。值得注意的是，处于及格线以下的A中，也有的来自互联网巨头公司和头部金融科技企业，如新浪系的3个被测A“新浪金融”、“新浪分期”和“浪小花”都在垫底行列中，360金融旗下的“360信用生活”、小米金融旗下的“小米贷款”、金山集团旗下的“金山金融”和众安科技旗下的“众安小贷”成绩也不理想。

七成被测A可截屏密码

具体来看，比较严重的安全隐患集中在用户进行身份认证时的信息外泄问题。根据《规范》要求，客户端应用软件应事先身份认证过程的防截屏、录屏。但实测发现，近七成被测移动金融A在用户输入登录密码、登录验证码、交易密码，修改登录密码、交易密码时均无防截屏、录屏的功能。

南都金融合规研究课题组测评发现，在实名认证时，要求用户上传身份证图片，但未做敏感信息收集用途的承诺，存在身份证图片外泄风险。近半数所测A要求用户上传身份证正反面图片，但却无“仅用于身份验证”的水印，页面亦无任何安全性提示或承诺；另有两成被测A虽然未打水印，但在上传页面作出“仅为平台审核用”等安全性承诺；只有“支付宝”、“有钱花”、“度小满金融”、“维信卡卡贷”、“你我贷借款”、“还呗”和“小花钱包”7个A在用户上传的身份证正反面图片上打水印提示“仅为平台审核用”。

顺丰金融A等可展示用户信息

此外，《规范》要求，除交易对账、转账收款方确认等必须由用户确认的情况外，客户端应用软件在显示个人信息时，屏蔽关键字段。从测评记录来看，被测试A在对个人金融信息进行屏蔽展示方面做得都还不错，但有个别A对用户姓名进行了全部展示，例如“金山金融”、“顺丰金融”、“分期乐”、“拍拍贷借款”、“维信卡卡贷”；而“马上金融”、“小米贷款”未做屏蔽展示了用户的手机号码；“翼支付”未做屏蔽展示了用户的身份证住址。

苏宁消费金融等支付密码可设为123456

除了身份认证信息的外泄，更需要关注的是密码操作安全，这里的“密码操作安全”，包括登录A、在A内进行交易的认证要素安全和口令安全。

《规范》要求，在用户身份认证后，客户端应用软件进入终端系统后台时，如果超过设定时限后被唤醒切换到前台，应采取措施对用户身份重新认证。南都金融合规研究课题组测评发现，本次测评中，近半数被测移动金融A进入后台运行后再次唤醒时，处于默认登录状态，无需进行再次验证，其中包括“京东金融”、“苏宁金融”等。不过，南都记者发现，上述A可以在其“安全设置”板块内进行个性化设置，完成设置后，即可添加指纹、手势、刷脸等验证方式，但需要用户自主手动添加，而其他未检测出默认登录的A则主动引导用户进行重新认证。

南都金融合规研究课题组还发现，有部分A登录时的身份认证要素和方式太过单一。测试记录显示，有四分之一的被测A引导用户使用“本机号码一键登录”功能，虽然看起来比较方便，但这意味着任何一个拿到这台手机的人都可以在一款移动金融类A上来去自如。值得一提的是，消费金融公司旗下的所有A，都不允许使用“本机号码一键登录”功能。《规范》要求，移动金融A须采用两种或两种以上的要素对用户身份进行认证，而“众安小贷”只能提供“本机号码一键登录”这一种登陆验证方式，无法自主设置登录密码。

更为突出的问题在于，有超10%的被测A缺乏密码复杂度校验功能，密码安全存在隐患。《规范》规定，A应有采取有效措施提醒用户避免设置与常用软件、网站相同或相似的用户名和密码组合，并采取有效措施引导客户设置独立的支付密码。但测评中发现，如“新浪分期”、“永辉金融”、“小赢分期”、“中银消费金融”、“消邦”、“苏宁消费金融”等A，允许用户将“123456”、“111111”这类连续数字串作为登录密码或支付密码；“携程金融”的登录密码和支付密码一致，并未独立设置支付密码；还有“滴滴金融”、“金山金融”等23个A并未限制修改的登录密码不能与原密码相同。

【测评标准说明】

本次测评，设定了身份认证安全、密码操作安全和个人金融信息展示安全的3个一级维度。满分100分，计分权重分别占比50%、40%和10%。

在“身份认证安全”维度中，涉及用户登录A时，是否采用适宜的验证要素、用户进行身份认证时是否有防截屏录屏功能等14个具体指标。其中，南都金融合规研究课题组重点考查了A在要求用户上传身份证信息时，具体如何处理身份证图片这类隐私信息。

在“密码操作安全”维度中，涉及用户输入密码时是否有防护、修改登录密码、支付密码时，对用户的验证措施如何等11个具体指标。

在“个人金融信息展示安全”维度中，主要测评了A在未登录、已登录、认证失败状态时，如何展示用户个人信息，是否有对银行账号、身份证号码、手机号码、姓名等进行屏蔽展示等4个具体指标。

出品：南都财经新闻部

测评数据采集分析：南都记者熊润淼实习生温依雯陈琪琦

制图：杨晨悦