应用要访问相机、定位、通讯录，都要申请权限。权限是用户信任的边界，也是审核的必查项。处理不好权限，应用很难顺利上架。
权限的分级
鸿蒙权限分为系统权限和敏感权限（用户授权类）：系统权限直接可用，敏感权限（相机、定位、麦克风、存储等）必须向用户申请，并给出使用说明。
敏感权限的申请时机很重要：用户用到功能时再申请，比启动时一股脑全要体验好得多，审核也更宽松。
申请流程
标准流程：调用能力前检查权限是否已授权（abilityAccessCtrl 查询）；未授权则弹窗申请；用户拒绝后要给出解释和设置页引导（不能反复骚扰式申请）。
申请时带上使用目的说明，让用户知道“为什么需要这个权限”，授权率会明显提升。
隐私合规
收集用户数据必须遵循“告知-同意”原则：隐私政策说明收集什么、怎么用、怎么保护；敏感信息（位置、身份、支付）要加密传输和存储。
个人信息保护法合规是硬要求：最小化收集、明确目的、提供删除渠道。审核时平台会重点检查隐私政策是否完整。
常见违规
常见被拒原因：申请了无关权限、隐私政策缺失或含糊、后台收集数据未告知、第三方 SDK 违规采集。上线前用平台自检工具扫描一遍。
第三方 SDK 是隐私合规的“暗雷”：很多 SDK 默认采集数据，集成时要审查其隐私声明和合规性。
安全开发习惯
权限最小化：只申请需要的；数据本地化：能本地处理的不上传；日志脱敏：不打印账号、Token、定位；定期自查：版本更新时重新审查权限和隐私说明。
权限与合规不是上架时才想的事，而是开发中就要养成的习惯。守住用户的信任，应用才能走远。