本文目录一览：
app会保存用户的照片和视频吗
不会。
一般我们常见的正规APP不会发生保存用户照片和视频的情况。不正规的APP或者没有听说的不常见的APP要谨慎一些，避免个人信息泄露。
现在有很多的APP我们在下载注册账号之后，你打开后需要授权获取你的位置，访问相册，照相机的权限等，这个一般不会有太大的影响，这个一般是软件在运行中利用你的位置向你推荐附近的商家，使用你的相机相册主要是在使用相机的权限，比如你在更换头像时可以使用相册的照片或者手机拍照，你发布视频或者图片这些都会使用到这些功能。
如何去测试一个 app 是否存在安全问题
身为测试答一个，这类安全性测试，是app专项测试中必须要做的一环，简单列举下目前常做的测试类别
1. 用户隐私
检查是否在本地保存用户密码，无论加密与否
检查敏感的隐私信息，如聊天记录、关系链、银行账号等是否进行加密
检查是否将系统文件、配置文件明文保存在外部设备上
部分需要存储到外部设备的信息，需要每次使用前都判断信息是否被篡改
2. 文件权限
检查App所在的目录，其权限必须为不允许其他组成员读写
3. 网络通讯
检查敏感信息在网络传输中是否做了加密处理，重要数据要采用TLS或者SSL
4. 运行时解释保护
对于嵌有解释器的软件，检查是否存在XSS、SQL注入漏洞
使用webiew的App，检查是否存在URL欺骗漏洞
5. Android组件权限保护
禁止App内部组件被任意第三方程序调用。
若需要供外部调用的组件，应检查对调用者是否做了签名限制
6. 升级
检查是否对升级包的完整性、合法性进行了校验，避免升级包被劫持
7. 3rd库
如果使用了第三方库，需要跟进第三方库的更新
xss能不能链接小米音响
可以的。
?1.下载app：首先，你需要下载【小米AI】app，打开app，点击【登陆】，进入到下一界面。
_ ?2.登录app：你可以选择用手机号码接收验证码来登录app，也可以使用原本的小米账号和密码来登录。
_ ?3.配置音箱：然后将小米AI音箱连上电源，这时小爱同学音箱顶部的环形带灯为橙色。点开刚才的配置页面来【发现】小米AI音箱。
_ ?4.会在手机上显示小米AI箱的型号，然后点击【继续】。如果一直显示说找不到音箱。你可以【长按】音箱顶部的【CN】键来重置小米AI音箱。
_ ?5.设置WIFI密码：下一步就是选择你的WIFI，然后输入你的WIFI密码。再点击【记住密码】，不然的话下次又要重新配置了。输入完毕后点击【继续】。
_ ?6.这时手机显示小爱同学AI音箱正在配置中，等待1-2分钟后就会设置完成。再点击继续就可以使用了
如何测试XSS漏洞
XSS跨站漏洞分为大致三种：储存型XSS，反射型XSS，和DOM型XSS，一般都是由于网站对用户输入的参数过滤不严格而调用浏览器的JS而产生的。XSS几乎每个网站都存在，google，百度，360等都存在，存在和危害范围广，危害安全性大。
具体利用的话：
储存型XSS，一般是构造一个比如说"scriptalert("XSS")/script"的JS的弹窗代码进行测试，看是否提交后在页面弹窗，这种储存型XSS是被写入到页面当中的，如果管理员不处理，那么将永久存在，这种XSS攻击者可以通过留言等提交方式，把恶意代码植入到服务器网站上， 一般用于盗取COOKIE获取管理员的信息和权限。
反射型XSS，一般是在浏览器的输入栏也就是urlget请求那里输入XSS代码，例如：127.0.0.1/admin.php?key="scriptalert("xss")/script，也是弹窗JS代码。当攻击者发送一个带有XSS代码的url参数给受害者，那么受害者可能会使自己的cookie被盗取或者“弹框“，这种XSS一次性使用，危害比储存型要小很多。
dom型：常用于挖掘，是因为api代码审计不严所产生的，这种dom的XSS弹窗可利用和危害性并不是很大，大多用于钓鱼。比起存储型和反射型，DOM型并不常用。
缺点：
1、耗时间
2、有一定几率不成功
3、没有相应的软件来完成自动化攻击
4、前期需要基本的html、js功底，后期需要扎实的html、js、actionscript2/3.0等语言的功底
5、是一种被动的攻击手法
6、对website有http-only、crossdomian.xml没有用
所以楼主如果想更加深层次的学习XSS的话，最好有扎实的前后端开发基础，还要学会代码审计等等。
推荐的话，书籍建议看看《白帽子讲web安全》，《XSS跨站脚本攻击剖析与防御》
一般配合的话，kalilinux里面的BEFF是个很著名的XSS漏洞利用工具，楼主有兴趣可以去看看。
纯手工打字，望楼主采纳。
存储型xss怎么扫描出来
1、首先通过扫描工具appscan或者burpsuite工具扫描，查看与验证扫描结果中的XSS漏洞。
2、然后反射型XSS，在请求的url的参数后面拼接XSS脚本，看是否能正常执行。
3、最后存储型XSS在保存数据的时候输入XSS脚本，检查数据是否能正常保存，测试时注意脚本的变种，如编码和大小写混编。