Airbnb更新藏雷：Rive动画库被打上"必要Cookie"标签

今天顺手更新了Airbnb的app，惯例扫一遍隐私设置里的Cookie清单。别的不说，第三方"strictly necessary"这一栏越来越离谱。支付和地图功能需要 Stripe 和 Google Maps 我能理解，但手滑看到两个眼生的——Rive 和 Swift-avif-decode。

Rive 是个矢量动画渲染库，Swift-avif-decode 是专门解码 AVIF/HEIF 图片的工具。这两玩意纯粹的客户端依赖，动画和图片渲染在本地就能搞定，压根不需要往服务器写 Cookie。退一万步，退一万步说，动画本身对预订功能也不是"必要"的，顶多算是 UI 层面的装饰层。Airbnb 把它们归为"必要"，于情于理都说不过去。

更可疑的是，这两个库如果真的要靠 Cookie 工作，唯一的可能性是它俩在背后默默地做 tracking 或者渲染性能分析——通过 Cookie 回传客户端状态或者用户行为数据。但官方从没解释过这些 SDK 写入的是什么 Cookie，什么场景下写入，写入后多久失效。用户点的"Accept All"被包装成了"允许必要 Cookie"，但实际触发了远超出功能所需的数据收集。

这次更新让我想到一个普遍问题：大量 app 把"strictly necessary"当成万能筐，什么第三方 SDK 都往里塞。用户一看"必要"俩字，几乎不会去点开详细信息。如果要较真，动画和图片解码器既不负责会话管理、也不处理支付验证、更不保存安全凭据，根本不符合 GDPR 里"strictly necessary"的定义。与其说是法律合规，不如说是营销话术。

总之，下次更新别忘了点开那一长串的必要 Cookie 列表，看看里面到底藏了多少花活。