用户对可穿戴设备的隐私担忧
外形因素、传感器和收集的数据类型的影响
维维安·热纳罗·莫蒂(&)和凯莉·凯恩
美国克莱姆森大学计算学院,克莱姆森 {vgenaro,caine}@clemson.edu
摘要
可穿戴设备在医疗保健、娱乐和安全等多个应用领域中已变得流行。由于其普遍性、小巧的尺寸和自主性,这些设备在不同活动和场景中的应用潜力得以扩大。可穿戴设备持续且无处不在地收集有关个体用户及其周围环境的数据,这可能带来许多隐私挑战,而用户和利益相关者尚未准备好应对这些挑战。在设计有效的增强隐私保护的可穿戴设备之前,我们首先需要识别并理解用户可能存在的隐私问题以及这些问题是如何被感知的。为了实现这一目标,本文展示了对关于可穿戴设备用户隐私问题的在线评论进行定性内容分析的研究结果。我们还讨论了外形因素、所使用的传感器以及收集的数据类型如何影响用户对隐私的感知。我们的研究结果表明,用户根据所使用的可穿戴设备类型表现出不同层次和类型的隐私问题。通过更好地理解用户对可穿戴设备隐私的看法,我们旨在帮助设计人员和研究人员开发有效解决方案,以创建增强隐私保护的可穿戴设备。
关键词 :隐私 Wearable计算 Wearable设备 Form factors隐私问题 User研究 Human factors
1 引言
过去几十年来,技术的显著进步以组件微型化、更高效的电源、替代性网络解决方案和新型传感器为特征,推动了可穿戴设备的发展。因此,各种外形因素被创造出来,使得可穿戴设备能够应用于多种不同用途。尽管可穿戴设备具有巨大潜力并已被认可带来诸多益处,但其广泛使用也引发了若干隐私问题。可穿戴设备通过持续收集、传输和存储数据,处理的信息通常被视为个人的、私有的、敏感的或机密的。这些信息可能公开发布在社交媒体上,与个体用户的朋友网络共享,甚至与未知或不受信任的第三方共享。虽然数据收集与共享为终端用户带来了许多好处,但也为参与可穿戴设备及应用程序开发的利益相关者带来了新的隐私挑战。可穿戴设备使对个体的监控和逆向监控成为可能。
他们的行为和周围环境,这可能导致严重的隐私影响、威胁和风险。这些问题不仅影响个体用户,还影响到相关的社会和组织,例如当收集的数据被滥用时。由于可穿戴领域的新颖性,这些影响尚未被充分理解。
可穿戴设备的持续使用涉及多种隐私问题,然而由于这些设备的使用相对较新,用户并未意识到持续数据收集、存储和在线共享所带来的潜在隐私影响。为了更好地理解用户对可穿戴设备隐私的实际看法,并确定他们当前的主要关注点,我们从在线来源(如IT论坛、网站、讨论列表和社交媒体)收集了用户(终端用户和潜在用户)针对多款可穿戴设备(包括已上市或即将上市的产品)的评论,这些设备涵盖头戴式和腕戴式设备。通过对从一系列在线来源提取的用户评论进行分析,我们识别出有关可穿戴设备隐私的不同担忧,并分析了这些担忧如何与特定的外形因素、所采用的传感器以及收集的数据相关联。
本文的主要贡献在于识别以下几点:(i) 用户对可穿戴设备隐私的担忧是什么;(ii) 外形因素、收集的数据和所使用的传感器如何影响这些隐私问题(在程度和性质方面);以及 (iii) 哪些担忧是可穿戴设备、传感器和应用程序所特有的。
本文组织如下:第2节通过介绍相关研究和本研究的范围来阐述研究动机并提供背景;第3节描述研究方法;第4节展示获得的结果;第5节对结果进行讨论;第6节给出结论。
2 相关工作
隐私问题并非技术领域所独有,自 1890[1]以来就一直被讨论。尽管已被长期探讨,但与移动技术相关的隐私问题相对较新,研究起来较为复杂,且目前仍未被充分理解[2]。此外,移动和可穿戴设备持续收集数据,传感器(如摄像头、全球定位系统和加速度计)的广泛应用,加之其体积小、隐蔽性强,为保障用户隐私带来了新的挑战。
以往关于用户隐私的大部分研究主要集中在移动设备及其应用、社交网络、Web应用或其他安全问题(如账户劫持)上。从以人为中心的视角来看,关于可穿戴设备隐私的研究仍然较少。现有解决方案对隐私问题的界定过于狭窄,且尚未找到令人满意的通用解决方案,此外该领域还呈现出碎片化的局面。隐私问题的本质仍是一个开放性问题,需要更深入地理解技术中的隐私行为。
以下各节总结了相关研究发现,阐述并讨论了普适、移动和可穿戴计算中的隐私问题及人类视角。
2.1 普适计算中的隐私
以将计算解决方案融入物理环境为特征,普适计算使无生命物体能够获得智能,通过感知、处理和通信数据 [11]。这些数据涉及个体用户及其周围环境,并可能引发隐私问题。尽管这些问题存在且至关重要,但用户对其了解有限。通过以用户的视角和关注点为核心,提出增强隐私的技术解决方案,利益相关者可以帮助用户更好地理解和控制这些系统中的隐私 [12]。
2.2 移动设备中的隐私
过去几十年中,移动计算的显著进步推动了移动设备的普及,如今智能手机和移动应用在用户的日常生活中扮演着基础且密切的角色。尽管这些设备和应用持续进行数据收集和传输,但先前的研究表明,用户并不清楚哪些数据被收集以及这些数据如何被使用[3]。尽管移动隐私问题至关重要,但目前对其理解仍然不足[2]。
2.3 可穿戴设备中的隐私
与普适计算和移动计算类似,在可穿戴计算中,隐私仍是尚未解决的主要挑战之一[13]。不仅因为可穿戴计算机能够感知、处理和存储关于用户的敏感信息,还因为可穿戴设备能够持续且隐蔽地进行此类操作[14]。此外,目前用户无法完全理解数据收集所涉及的潜在风险、威胁和影响,并倾向于低估这些风险。然而,收集的数据往往能够推断出私人信息,尤其是与其他数据结合时,可能对用户隐私造成重大风险[15]。
正如先前的研究指出,隐私已成为用户关注的关键问题,例如在头戴式显示器(HMD)可穿戴性的用户关注事项中,隐私位列前五 [16]。尽管这一议题十分重要,但可穿戴设备隐私仍是一个新兴领域,许多问题仍有待探讨。
关于可穿戴设备隐私的先前研究主要关注其不同方面,包括:(i)用户对可穿戴摄像头的行为,以识别影响照片敏感性的因素以及展示用户饮食行为的照片中的隐私问题;(ii)时尚服装中远程通信的需求;(iii)脚链佩戴者的感知,以识别基于位置的隐私问题;(iv)增强现实系统的隐私;以及(v)谷歌眼镜用户的监控问题。尽管这些研究有助于理解用户如何看待可穿戴设备隐私,但它们主要集中在特定的可穿戴设备或应用程序上。
2.4 用户对隐私的看法
在[10],中识别和分析了多种技术中的隐私行为,以帮助理解用户的观点和关切,并提出和设计创新解决方案来确保用户隐私。尽管已开展大量用户研究,这项工作旨在普遍理解隐私问题,而不受所采用技术的影响。[21],还进行了用户研究,以更好地了解用户的隐私问题。这项工作虽然侧重于电子商务应用,但表明报告的担忧与用户实际行为之间存在显著差距,进一步证明用户经常为了获得利益而牺牲自己的隐私。对于[22],而言,考虑当前用户的需求及其认知模型是确保隐私控制的关键。[6],也分析了用户对隐私的理解,但主要针对他们与网站的交互。
尽管之前的研究主要集中在普适、移动和可穿戴计算上,但用户对可穿戴设备隐私的关注究竟是什么,以及这些关注如何与特定的设备、传感器和应用相关联,目前仍不明确。然而,如果不了解这些隐私问题,就无法以有意义的方式解决隐私问题 [23]。
3 方法
因为我们希望评估已经对使用可穿戴设备感兴趣或有使用经验的广泛人群的隐私感知,并且我们希望收集地理和人口统计上多样化的样本,所以我们选择对可穿戴设备用户发布的在线评论进行观察性研究。为了识别关注点,我们从一系列在线来源(如下所述)中提取了评论。首先,我们选择了一组设备和数据源,然后识别、筛选并分析了用户对可穿戴设备隐私的担忧。本研究方法论的更多细节将在以下章节中描述。
3.1 机构审查委员会批准
为确保人类受试者的保护,在数据收集开始之前,克莱姆森大学机构审查委员会(IRB)已批准本研究为豁免项目。
3.2 数据选择、提取与分析
由于头戴式和腕戴式设备是目前最流行且广泛使用的外形因素,我们在数据收集时考虑了这两种外形因素。为了尽量减少所收集数据的偏差,我们选取了59个不同的在线来源,包括用于讨论和技术评论的流行网站以及用于购物、评价和推荐设备的电子商务页面。数据收集过程共提取了2000多条评论用于分析。
该过程于2014年4月和2014年5月进行,包括访问先前选定的在线来源,搜索用户针对特定设备的评论,并手动提取相关内容以形成报告。
在分析过程中,我们筛选并选取了与隐私问题相关的评论。为此,我们研究团队的一名成员阅读并分析了每条评论,以识别和标注与隐私相关的内容。随后,再次分析这些已标注的评论,以确定其动机方面的隐私问题的性质及其背后的原因。例如,如果用户担心自己的位置通过社交媒体应用实时发布到网上,就会涉及位置泄露的影响)。为了确定隐私问题与相应收集的数据及传感器之间的关系,我们分析了所识别问题的性质,并评估了这些问题是否特定于某种外形因素和/或应用,还是适用于移动设备的通用问题。该分析的结果以维恩图形式直观展示(图 1)。
3.3 设备、在线数据源和图表
所收集的用户评论最晚生成于2014年5月。所选网络来源中并非总是提供评论的发布时间,但用户通常会在厂商宣布推出新设备、开始销售或发布新版本时开始发表评论。所收集的评论涉及六种不同用途的腕戴式设备,包括:
• 27关于六款臂带和智能手表的隐私评论:索尼SWR10(Core)Smartwear和 Thalmic Labs Myo、Basis、高通Toq、LG Lifeband Touch、雷蛇Nabu。
T对32款头戴式设备的用户评论进行了分析,包括 :
4 可穿戴技术的用户隐私关注识别
对在线评论的分析揭示了用户关于可穿戴设备隐私的13项关注。这些关注与每种设备收集、存储、处理和共享的数据类型密切相关。嵌入式传感器(如摄像头和麦克风)会捕捉个体用户或附近人员的数据,通常在他们无意识的情况下进行。或同意。这些数据通常具有个人性、机密性和敏感性,从而带来隐私挑战,例如涉及监控的问题。其他传感器,如心率监测器、血糖仪和活动追踪器,用户通常认为其涉及的隐私问题较少。
通过分析用户评论,共出现了13个隐私问题,其中腕戴式设备6个,头戴式设备7个。这些问题将在以下章节中按外形因素以及相关活动分别进行阐述:数据收集、数据处理和数据共享(依据索洛夫隐私分类法[23]中定义的前三类活动)。
4.1 腕戴式设备的隐私问题
腕戴式设备收集的数据性质至少在表面上看来不如头戴式设备敏感。一些头戴式设备(HMD)能够捕捉音频、图像和视频,这些数据的隐私影响对用户而言往往更为严重或至少更明显。而可穿戴设备(WMD)通常包括活动追踪器,并感知用户位置,这类数据被用户视为隐私敏感性较低的信息。事实上,根据我们的分析,GPS传感器被认为是可穿戴设备(WMD)用户最关注的隐私问题,因为其位置信息被感知并存储,有时甚至通过社交媒体应用的实时动态在线共享。此外,腕戴式设备的外形因素与日常佩戴的传统配饰(如手表和手链)相似,因此能自然融入用户的日常着装,不易引起他人的注意或怀疑。在下文列出的针对腕戴式设备(WMD)的六个隐私问题中,前两个与数据收集相关,其余四个则涉及数据共享。
4.1.1 一般社会影响:缺乏意识
一个活动追踪器会同步认证用户的数据(例如位置和照片),并将其关联到该用户的社交网络,这也可能影响其他人的隐私(例如,属于某用户社交网络联系人的人):
它不仅记录您的活动,还记录您周围人员的活动,并且还可以连接到其他设备
属于用户社交网络的人员不一定了解或遵守所收集、存储、发布或共享的数据。
4.1.2 被遗忘权
当数据被持续收集、存储、发布和共享时,其中可能包含用户希望日后能够回忆起来的信息,但也可能包含用户原本不愿意记录或日后被提醒的事件和事实:
它记录了你日复一日所做的一切,甚至可能包括一些你不想被提醒的事情。
4.1.3 位置泄露的影响
分析的用户评论显示,用户担心其被追踪的位置信息可能泄露给窃贼等恶意方和犯罪分子。
跟踪者。这些恶意方可能会滥用用户位置,例如更好地策划犯罪或其他有害行为:
“它[可穿戴设备]只是知道何时拍摄精彩瞬间的照片,知道你是否正在开车,以便你的朋友和跟踪者全天候了解你的位置,知道你何时睡觉、开车或爬山”
4.1.4 机密信息的离散显示:非披露
腕戴式设备(如智能手表)通常使用屏幕显示通知。这些通知可能包含敏感或机密信息,而这些信息也可能被靠近最终用户的人员看到。对于某些用户而言,能够向周围人员隐藏此类信息是可取的。
第二个屏幕将充当一种隐私屏幕,防止他人通过 glance 手腕来阅读你的短信
4.1.5 缺乏访问控制
了解云数据存储的用户担心组织甚至政府会在未经其意识或同意的情况下,出于滥用或恶意目的使用其个人数据:
“[可穿戴设备是]美国国家安全局的新宠”
4.1.6 用户的担忧:监控与逆向监控
尽管大多数可穿戴设备用户承认收集和追踪他们的个人信息有许多好处,但他们担心持续的监控和个人监控可能在未来给他们带来的影响:
我不确定自己是否应该对这款记录我一举一动的索尼手环感到完全兴奋还是彻底恐惧。
我忍不住觉得,它会不会是老大哥乔装打扮后的产物?
4.2 头戴式设备的隐私问题
专注于增强现实和虚拟现实以及游戏体验的头戴式设备(如Oculus Rift和索尼 HMz-T1)并未引发用户太多的隐私问题,因为这类设备收集的数据敏感性较低,且设备本身不存储或共享信息,从而避免了通过社交媒体和其他具有在线用户网络的应用程序泄露数据。另一方面,像谷歌眼镜这样的头戴式计算机配备了摄像头和麦克风,并经常与智能手机同步,使用户能够连接到社交媒体应用程序。这引发了多项隐私问题,正如我们对用户评论的分析所示。下一节将详细说明用户对头戴式显示器的具体关注。在七项用户关注中,前四项与数据收集相关,一项与数据处理相关,最后两项涉及数据共享。
4.2.1 语音泄露
使用语音识别可使用户实现免提交互,但当用户并非独自一人且需要处理机密信息时,音频作为一种独特的输入方式会带来严重的隐私问题:
尽管你无法介意别人听到你在说什么
4.2.2 监控、逆向监控与犯罪滥用
由于在未经同意或意识的情况下收集数据,用户表示他们担心可能存在犯罪滥用的风险:
“人们对隐私侵犯、监视以及人们更关注记录事件而非真正参与其中的情况存在诸多担忧”
4.2.3 隐蔽的音视频录制:无意识
尽管智能手机和平板电脑等移动计算机也包含摄像头和麦克风,但头戴式显示器允许用户隐蔽地开始录制内容:
“比智能手机还容易使用的摄像机⋯⋯随之而来的隐私问题确实非常严重。”“将微型可穿戴设备放置在人的眼睛上,可能会更加隐秘,尽管一些隐私倡导者可能认为这是个缺点。”“我确实认为,使用明显的相机拍照,与秘密录制视频之间存在区别。社会规范已经对秘密进行音频录制的行为持否定态度(尽管这并不违法,但这种行为很少发生,且往往带有‘秘密机构’般的神秘色彩);而视频录制则更具侵扰性。”“可穿戴设备的隐秘性越高,高科技增强视觉技术越先进,其潜在危险也越大。基本上,如果我们不能解决日益增长的隐私/骚扰担忧,我们正处在一条滑坡效应的边缘。”
4.2.4 监控、逆向监控与社会影响:无意识
设备会采集用户周围环境的信息,这一事实将隐私问题延伸到了社会环境中,因为附近的人员通常 unaware 或未同意数据收集:
“还有一个挑战不仅影响佩戴眼镜的人,也影响周围的所有其他人:隐私”
用户可能不太愿意在头部佩戴带有摄像头的设备,至少在当今以及在那些这种做法并不常见的环境中尤其如此:
“这些隐私问题可能被夸大了,但我认为人们需要一段时间才能适应别人脸上戴着带摄像头设备走来走去的想法。”
4.2.5 面部识别:可识别性
用户承认面部识别有助于增强记忆,然而,他们也意识到,正如[28]此前指出的那样,隐私问题在不久的将来可能会出现。
“⋯⋯完全需要一个摄像头。我希望可以看着人,然后它能告诉我他们的名字,如果必须的话,可以限制在我的个人联系人数据库内,但我记名字很糟糕,如果它想给我一种沉浸式的世界体验,那么它就必须能够看到我所看到的东西,而不必担心隐私问题。”
隐私官员了解到谷歌目前不会在眼镜中加入面部识别功能,但对谷歌未来的面部识别计划表示担忧
⋯⋯图像分析. 这当然会引发各种新的隐私问题,例如通过与脸书照片相关的面部识别来识别人物⋯ ⋯
4.2.6 与社交媒体的自动同步:可链接性
一些用户不喜欢他们的设备立即与社交媒体应用程序同步并共享数据而无法控制的想法:
“为什么我他妈的会想从一副耳机发推特或脸书?这世界上的恐怖事情还不够多吗,还要加上这个?”“哦,太好了!又多了一个退订理由可以加入我的退订规则列表。来自耳机的推文?退订!”“迫不及待想看到那个没有脸书集成反而成了大事的趋势。”
4.2.7 视觉遮挡:非披露
遮挡用户视野的头戴式显示器,例如Oculus Rift和索尼HMz-T1,可让用户私密地进行交互,因为其视觉被遮蔽:
“不是作为主要显示器,而是用于那些我真正需要隐私的时刻。”“在自己房间的私密空间里观看他们想看的内容。”“封闭式设计将为观看者提供完全的隐私。” “我想要的是一个头戴式设备来替代我的笔记本电脑屏幕。这样我在旅行时就不必承受它的尺寸、重量、易损性、功耗以及缺乏隐私的问题。”“为你的增强现实浏览提供一定的隐私保护。”
4.3 不同形态设备中的隐私问题
对收集的用户评论进行分析后,发现了可穿戴设备存在的13个隐私问题,其中一些问题与外形因素无关。通过分析这些问题,我们注意到其中一些问题(4个)是设备特有的,另一些(3个)是传感器特有的,少数(2个)取决于收集的数据,还有(2个)既与设备/应用程序又与数据相关。
- 设备特定隐私问题 :社会影响(通常指收集不属于个体用户个人数据的设备,会对隐私的社会层面产生影响)、犯罪滥用(收集个人数据可能助长犯罪滥用)、如果设备中具备相应的算法,则可能发生面部识别、社交媒体同步并不一定是可穿戴设备用户的意愿;
- 传感器特定隐私问题 :位置泄露与全球定位系统使用相关,语音泄露取决于音频作为输入方式的能力(带麦克风的头戴式显示器),隐蔽的音视频录制(带头戴式显示器的摄像头)则取决于传感器在设备中的隐蔽程度,因为数据可能在未被察觉的情况下被采集;
- 数据特定隐私问题 :被遗忘权(所有在未经同意、无意识或违背用户意愿情况下收集的数据,应在收集后能够被删除),用户担心某些数据类型在结合后可能带来严重后果。
- 设备/应用程序和数据特定隐私问题 :离散显示和视觉遮挡取决于配备屏幕的设备,应允许用户决定信息是否、何时以及如何显示。
大多数用户的隐私问题,尽管是在分析某一特定外形因素时识别出的,但也可能适用于不同的设备,通常取决于特定传感器、功能或应用的可用性。例如,位置泄露主要依赖于全球定位系统来追踪用户的位置,该系统通常内置于腕戴式设备中,但也可能出现在脚环或头盔中。除了全球定位系统外,其他传感器或数据源也可用于追踪用户的位置。图 1 说明了所识别的隐私问题如何根据其影响因素进行归类。
5 讨论
从对可穿戴设备隐私中用户关注的分析中我们注意到,多个因素会影响用户的隐私问题。这些因素包括:收集的数据的性质、各自的机密性和敏感性水平、信息共享和披露的能力,以及潜在的影响(社会、刑事等)。
研究结果表明,隐私问题并不一定局限于某一特定设备或外形因素,而是与设备中嵌入的传感器及其所收集的数据密切相关。我们发现,包含摄像头和麦克风的设备引发的隐私问题更多且更为严重,其次是带有全球定位系统和显示屏的设备。例如,用于监测心率、步数和脉搏的活动追踪器通常被认为对用户隐私无害,但用户可能并未意识到此类数据可能被第三方滥用,或在长期收集以及与其他补充信息关联时可能产生的隐私影响。
我们还注意到,用户对移动隐私和可穿戴设备隐私的关注存在显著重叠,这主要是因为用户使用可穿戴设备完成的任务也可以通过其他此前大规模使用的设备实现(包括摄像头、计步器和平板电脑)。然而,从对用户评论的分析中我们发现,可穿戴设备的特定特性加剧了这些隐私问题。例如,尽管摄像头和麦克风早已应用于移动设备,但可穿戴设备使得在他人未察觉的情况下更轻松地记录数据,因此在可穿戴设备情境下,他人缺乏意识、合规性和同意成为更关键的隐私问题。同样,用户对位置信息也存在隐私问题,主要原因是腕戴式设备能够追踪其位置,并立即通过社交媒体应用将该信息在线发布给联系人网络。用户担心这一群体可能包含恶意用户以及个体用户不认识或不信任的人。
5.1 局限性
在对在线评论的分析中,涵盖了38种设备的广泛列表,然而,由于可穿戴设备领域的变化非常迅速,显然此列表并未包含所有可能的可穿戴设备。例如,我们对腕戴式设备的分析包括了六种设备,主要是臂带和智能手表。在未来的工作中,为了补充我们的研究结果,我们计划也分析健身追踪器,因为我们假设这种特定类型的可穿戴设备目前可能比智能手表和臂带引发更多的隐私问题。
尽管本研究主要关注头戴和腕戴设备,但我们认为,胸戴和背戴设备(例如用于心率监测的Polar心率带和用于姿势追踪的Lumo背带)也可能引发隐私问题。为了进一步观察这一点,在未来的工作中,我们计划验证此类设备可能涉及的隐私影响,并确定潜在的用户关注。
收集和分析在线数据是一种相对较新的研究方法,尽管它能够实现对大量内容的分析,但仍存在两个主要局限:首先,关于数据收集与分析,目前尚无成熟且经过验证的协议,因此本研究所采用的方法具有探索性和经验性。其次,由于所有收集的数据均为匿名,对用户资料的了解较少。然而,我们可以假设发布在线评论的用户频繁访问网络(论坛、IT网站),并对技术感兴趣(以跟踪该领域的新趋势和新闻)。尽管这类用户属于小众群体,限制了研究结果的普遍适用性,但他们也代表了对可穿戴技术感兴趣的现实或潜在用户。
6 结论
对用户评论的分析表明,关于可穿戴设备的隐私问题与移动设备的隐私问题相似,但在某些情况下更为具体。研究还表明,用户能够意识到潜在的隐私影响,但主要集中在数据收集与共享阶段。用户的隐私问题与可穿戴设备感知、收集和存储数据的能力相关,这些数据通常是私人的、个人的、机密的或敏感的,并且可能被分享给未知或不受信任的第三方。
用户对可穿戴设备隐私的关注涵盖了用户与可穿戴设备交互的多个方面,包括:敏感信息的披露、隐秘的数据收集(音频和视频)、在社交媒体应用中的公开帖子(分享),以及对于谁可以访问所收集的数据缺乏控制和意识。
尽管用户对可穿戴设备的隐私问题关注度与移动设备相似,但他们关注的性质更为关键。这表明,由于用户对潜在的隐私影响在一定程度上缺乏认知,厂商应提醒他们可能存在的问题,使他们能够对收集的数据内容、收集时间与方式实施细粒度控制,并明确数据的共享方式(即谁可以访问这些数据)。
尽管在构建真正增强隐私的可穿戴设备和应用程序方面还有很长的路要走,但这项工作有助于澄清用户对可穿戴设备隐私的关注,为未来制定更好的解决方案提供了见解。
3697

被折叠的 条评论
为什么被折叠?



