Ta práva takhle jsou. Akorát se to necpe vše do jedné aplikace, ale ty části vyžadující další oprávnění se udělají jako pluginy (samostatné aplikace) – což dává větší smysl a je to bezpečnější. Akorát že programátoři na to většinou kašlou a nacpou vše do jedné velké aplikace (odstrašujícím příkladem je aplikace Facebooku, což je jeden obrovský balík, který má umět všechno a vyžaduje práva na všechno).
Jo, mají to tam hoši blbě. Práva aplikace by měla být
1. vyžadovaná (když to nepůjde, tak to nebude fungovat vůbec)
2. nevyžadovaná (když to nepůjde, tak nějaká fíčura nebude fungovat)
Jako třeba nějaká mapová aplikace by mohla mít v kategorii 2 Internet (mapa může být offline), přístup na SD kartu (mapa se může tahat odjinud) GPS (uživatel si mapu jen prohlíží) atd. atd.
Každá druhá složitější aplikace prostě musí vyžadovat tisíce oprávnění, ale 90% z nich není klíčových.
Takže práva druhého typu (aplikace by v AndroidManifest.xml deklarovala, co je 1. a co 2. typ) by měla jít uživatelem zakazovat snadno, práva prvního typu taky, ale jen s rudým varováním, že si uživatel říká o malér a že mu to pak asi fungovat nebude.
Na požadovaná práva se nemůžu ohlížet, když každá druhá aplikace chce všechno, včetně zavedení anální sondy uživateli.
Jenže Google sám je proti tomu, aby byl uživatel schopný nepotřebná práva zakázat a nechat systém, aby aplikaci v těchto případech předhazoval fiktivní data.