本文目录一览：
如何去测试一个 app 是否存在安全问题
身为测试答一个，这类安全性测试，是app专项测试中必须要做的一环，简单列举下目前常做的测试类别
1. 用户隐私
检查是否在本地保存用户密码，无论加密与否
检查敏感的隐私信息，如聊天记录、关系链、银行账号等是否进行加密
检查是否将系统文件、配置文件明文保存在外部设备上
部分需要存储到外部设备的信息，需要每次使用前都判断信息是否被篡改
2. 文件权限
检查App所在的目录，其权限必须为不允许其他组成员读写
3. 网络通讯
检查敏感信息在网络传输中是否做了加密处理，重要数据要采用TLS或者SSL
4. 运行时解释保护
对于嵌有解释器的软件，检查是否存在XSS、SQL注入漏洞
使用webiew的App，检查是否存在URL欺骗漏洞
5. Android组件权限保护
禁止App内部组件被任意第三方程序调用。
若需要供外部调用的组件，应检查对调用者是否做了签名限制
6. 升级
检查是否对升级包的完整性、合法性进行了校验，避免升级包被劫持
7. 3rd库
如果使用了第三方库，需要跟进第三方库的更新
「软件测试」如何进行APP安全性测试
一、前言
在SDK最近的项目中上线的包被第三方杀毒软件报出有病毒的问题，后来经过查验发现是SDK悬浮窗动画的逻辑被检验出有病毒，最后进行了修改。事情虽然解决了，但是引起该问题的一个原因是在测试中没有安全测试，而安全测试的标准，方法都没有。因此今天将之前工作中参与过的安全测试以及从网上查阅到有关安全测试的资料进行整理。有不足的之处，尽情谅解。
二、软件权限
1）扣费风险：浏览网页，下载，等情况下是否会扣费，一般在游戏APP，和社交APP等需要考虑这些。
2）隐私泄露风险。例如在我们安装APP应用时通常会看到"xx要读取手机通讯录"等提示，这些提示可以提示用户拒绝接受，这些是APP测试中的测试点。
3）校验input输入。对于APP有输入框的要对输入的信息进行校验，比如密码不能显示明文。在测试中红人馆注册时需要对input进行测试。
4）限制/允许使用手机功能接人互联网，收发信息，启动应用程序，手机拍照或者录音，读写用户数据。这个在通信行业用的比较多，比如展讯，高通等芯片厂商，他们在出厂芯片时要对手机各个功能进行测试。
三、代码安全性
之所以单独拿出来说，是因为在SDK测试过程中SDK代码被第三方工具检测出游病毒代码，这样一来就会影响输入法的使用。因此在后续测试中要尝试加入安全性测试。
四、安装与卸载安全性
1）应用程序应能正确安装到设备驱动程序上
2）能够在安装设备驱动程序上找到应用程序的相应图标。在SDK测试项目中发现有些设备受权限的问题，无法下发图标创建快链。
3）是否包含数字签名信息。在SDK测试项目中基本上没有，但是在输入法打包和主线版本上存在这样的测试。
4）安装路径应能指定
5）没有用户的允许应用程序不能预先设定自动启动
6）卸载是否安全，其安装进去的文件是否全部卸载
7）卸载用户使用过程中产生的文件是否有提示
8）其修改的配置信息是否复原
9）卸载是否影响其他软件的功能
10）卸载应该移除所有的文件
11）安装包的存放。在SDK下载安装包的测试中我们经常会看到下载下来的包后面有四个随机的字符串，这个的目的是为了防止第三方工具恶意删除安装包的问题。
在SDK测试项目中有专门针对下载安装卸载的用例，对安装的路径和下载的文件夹路径等有相关的测试，测试结果页表明，某些手机（例如华为mate1）在删除了某个下载路径文件夹之后受权限应用不会自动创建。
五、数据安全性
1)当将密码或其他的敏感数据输人到应用程序时，其不会被储存在设备中，同时密码也不会被解码
2)输人的密码将不以明文形式进行显示
3)密码，信用卡明细，或其他的敏感数据将不被储存在它们预输人的位置上
4)不同的应用程序的个人身份证或密码长度必需至少在4一8个数字长度之间
5)当应用程序处理信用卡明细，或其他的敏感数据时，不以明文形式将数据写到其它单独的文件或者临时文件中。以防止应用程序异常终止而又没有删除它的临时文件，文件可能遭受人侵者的袭击，然后读取这些数据信息。
6)当将敏感数据输人到应用程序时，其不会被储存在设备中
7)备份应该加密，恢复数据应考虑恢复过程的异常通讯中断等，数据恢复后再使用前应该经过校验
8)应用程序应考虑系统或者虚拟机器产生的用户提示信息或安全警告
9)应用程序不能忽略系统或者虚拟机器产生的用户提示信息或安全警告，更不能在安全警告显示前，利用显示误导信息欺骗用户，应用程序不应该模拟进行安全警告误导用户
10)在数据删除之前，应用程序应当通知用户或者应用程序提供一个"取消"命令的操作
11)"取消"命令操作能够按照设计要求实现其功能
12)应用程序应当能够处理当不允许应用软件连接到个人信息管理的情况
13)当进行读或写用户信息操作时， 应用程序将会向用户发送一个操作错误的提示信息
14)在没有用户明确许可的前提下不损坏删除个人信息管理应用程序中的任何内容
15)应用程序读和写数据正确。
16)应用程序应当有异常保护。
17)如果数据库中重要的数据正要被重写，应及时告知用户
18)能合理地处理出现的错误
19)意外情况下应提示用户
20)HTTP、HTTPS覆盖测试。在测试中我们经常会遇到与请求的加密解密测试，以确保产品的安全性
手机上的app性能测试怎么测
你好朋友
有很多方面需要考虑到，我列几点有明显特征的（我这里特指跟网络有交互的移动互联网应用，不是那种单机版的应用）：
功能测试：手机软件的基本功能。倒不一定完全由测试人员来完全执行，但却是所有测试中最重要的，需要测试人员做很好的测试策略和职责划分。
稳定性测试：大多数手机应用是需要保证能够稳定运行一定时间的（尤其是对于一些记事类应用），而且在应用的运行状态发生切换后需要继续保持当前的状态，不出现闪退。
性能测试：这部分分为两个方面，一部分是后台服务的性能测试（API的响应时间和响应报文大小），一部分是应用自身的性能情况（占用CPU、内存、I/O、电量情况，以及页面到页面之间的切换速度，如果是游戏或动画，还要保证能够在一定的帧率以上）。
安全测试：关键的机密数据连接有没有走加密连接；本地数据库有没有做加密处理，是否会被其他恶意应用读取；后台服务的接口是否安全，会不会受SQL注入的影响；应用有没有做混淆，会不会被逆向以及会不会在渠道方被修改重新签名挂马；敏感数据是否存在了SD Card上等等。
地理位置定位测试：大多数业务软件（电商类）都支持获取用户的地理位置信息，方便做一些本地业务的定制（尤其是对于O2O行业），至少需要考虑到三方面：1. 城市是否能准确定位；2. 定位位置精度是否符合要求；3. 地理位置名称解析过程无误。
应用升级兼容性测试：需要保证应用能够在升级或跨版本升级后一些关键数据得以保留，而不必用户重新设置，诸如用户账户认证信息、亮度设置、用于标示设备的UUID和一些关键的应用功能开关设置等等。
设备兼容性测试：随着Android设备的快速分化以及iOS设备的缓慢分化，应用需要适配在不同配置的硬件平台上（不同的CPU体系结构、不同的RAM配置、不同的Flash存储、不同的传感器配置、不同的网络模式等等），同时还要兼顾不同的OS版本，所以需要很大的精力放在系统兼容性和设备兼容性测试上。
耦合应用测试：对于今天的移动应用，“孤岛”模式的应用已经不复存在。大多数应用需要跟其他应用进行交互，从而达到“社交化”或“分享”以及“支付”的功能，这样，它在运行时跟其他软件的交互就存在一定的不确定性，这时如果应用有版本升级，我们需要关注升级后的耦合应用跟我们的应用之间的交互是否还依旧有效。
PUSH跳转测试：现今的移动应用同样还存在通过推送服务来让用户到达特定页面的特征。这样我们需要对PUSH服务能否到达特定页面并正确展示特定页面做测试。
统计上报测试：对于大多数应用来说，收集一些用户数据有助于他们对用户行为作出分析，从而对比是不是一些新功能的加入能提高用户的活跃度或转化率。这些信息都需要一定的上报方案才能获取、入库和分析。所以对于QA来说，这部分工作并不弱于一般功能测试。
---------------------------------------------
看到 @孟双双 补充说的网络环境，我再补充一下网络相关的。网络方面可以重点关注三类测试：
功能测试（用户体验方面）。在有些2G/3G网络上请求延迟会比较大，建立连接速度慢，以及不断进行大量的分散请求也会导致功耗增大、反复建立连接导致完成所有请求/响应时间长，这些都需要关注到。同时，应用内提供一套支持节约流量的使用模式也是一种可取的途径。另外，应用自身也可以考虑加上一定的离线工作模式，如将一些关键数据在WiFi连接时或有网时进行预取。参考豆瓣电台离线模式或虾米的歌单离线收听。不过此类测试可以通过一些工具来模拟网络延迟大或是丢包严重的情况，用2G/3G网络直接测试的环境构造成本会比较大。
适当的性能测试。功能测试已经能发现很多用户体验方面的问题，但这是大概的。如果要特别精细地定位问题瓶颈，需要通过性能测试详细分析延迟出现在哪里，是在建立连接的过程还是服务端响应的过程，或者是应用本地处理返回的数据上。
由于运营商在2G/3G网络环境上的复杂配置，很多情况下应用到服务端的连接会出现各种各样的怪象，导致用户无法在操作应用端时成功将请求发往服务端。这部分无法直接通过测试来保证（除非你**真的**有足够的资源可以做好众测）。建议跟运维组联系部署或租用全国范围内的电信、联通、移动网络监控（监控到关键域名下URL的响应）。
望采纳祝你好运