Airbnb 把矢量动画库强行定义为“必要 Cookie”到底在玩什么把戏？

最近在更新 Airbnb App 后，我习惯性地翻了翻隐私设置里的 Cookie 清单，结果在“严格必要（Strictly Necessary）”这一栏发现了一些非常离谱的项。除了 Stripe 支付和 Google Maps 这种能理解的第三方服务，竟然出现了 Rive 和 Swift-avif-decode。

对于不熟悉前端开发的人来说，这两个名字可能毫无意义，但只要稍微了解一点客户端架构就会发现，把它们归类为“必要 Cookie”简直是在挑战用户的常识。

首先来看 Rive，这是一个专门用于实时矢量动画的渲染库。它的作用是让 App 里的图标动得更流畅，或者在页面切换时做一些精致的过渡效果。而 Swift-avif-decode 则是一个专门用来解码 AVIF 或 HEIF 格式图片的工具库，目的是为了在保证画质的同时减小图片体积，加快加载速度。

这里有一个核心的技术逻辑：动画渲染和图片解码全部是在客户端本地完成的。Rive 渲染一个矢量动画，或者 Swift-avif-decode 解码一张图片，本质上是调用本地 CPU/GPU 的计算资源，完全不需要通过向服务器写入 Cookie 来维持状态。即便退一万步说，即便没有这些动画效果，Airbnb 的核心预订功能依然能跑通，它们顶多属于 UI 层的“装饰品”，根本不符合 GDPR（欧盟通用数据保护条例）中关于“严格必要”的定义——即如果没有该功能，服务将无法提供。

那么问题来了，既然不需要 Cookie 也能工作，为什么 Airbnb 要把它们打上这个标签？

最可疑的猜测是，这些 SDK 在后台默默地执行了某种形式的 Tracking（追踪）或性能分析。通过写入 Cookie，它们可以将客户端的渲染状态、用户在动画触发时的行为数据回传给服务器。但诡异的是，官方在隐私协议中从未详细解释过这两个 SDK 究竟写入了什么数据、触发场景是什么，以及这些 Cookie 的有效期是多久。

这种做法实际上是在利用用户的心理盲区。大多数用户在面对“接受所有 Cookie”和“仅必要 Cookie”的选择时，会倾向于后者以保护隐私。但当厂商把第三方 SDK 强行塞进“必要”这个万能筐时，用户点下的“仅必要”实际上触发了远超功能所需的数据收集。

这种现象在目前的 App 生态中非常普遍。很多公司为了在合规压力下依然能拿到用户数据，会将各种分析工具、广告 SDK 包装成“功能依赖”。但我们要明确，一个图片解码器既不负责会话管理，也不处理支付验证，更不保存安全凭据，它在技术层面完全没有理由要求写入 Cookie。

这次更新其实揭示了一个真相：很多 App 的隐私选项已经变成了纯粹的营销话术。所谓的“必要”，往往不是对用户功能的必要，而是对公司数据分析需求的“必要”。建议大家在更新 App 后，如果好奇自己的隐私被如何定义，可以尝试点开那个冗长的 Cookie 列表，看看里面到底藏了多少所谓的“必要”花活。