下载照片、保存到相册和云备份是三项不同的操作，三者都应检查。
加密聊天中的照片保存到相册后，可能在聊天应用的私密空间之外被访问。但打开或下载照片并不一定意味着它已保存到相册。具体行为取决于聊天应用、Android 版本和你的设置。
检查隐私时，应区分三件事：在聊天应用中接收文件、将文件保存到相册，以及将相册备份到云端。关闭其中一项，并不一定会关闭另外两项。
自动下载与保存到相册有什么区别？
| 操作 | 可能发生什么？ | 应检查什么？ |
|---|---|---|
| 自动下载 | 应用接收媒体文件，以便在应用内显示 | 允许使用的网络、文件大小，以及应用内的存储位置 |
| 保存到相册或在相册中显示 | 文件出现在共享媒体集合中 | 应用提供时，检查 Save to Gallery、Save to Photos 或 Media Visibility 选项 |
| 相册备份 | 选定的文件被发送到云照片账户 | 目标账户、纳入备份的文件夹和共享状态 |
这张表并不是任何聊天应用都保证具备的设置清单。请用一张不含敏感信息的测试图片，检查当前安装版本中的哪些操作会生成独立文件。
端到端加密的保护边界在哪里？
端到端加密旨在保护获授权设备之间的内容。当设备为显示照片而访问内容时，本地副本的保护还取决于操作系统、应用存储空间、权限和设备锁。
保存到相册，并不意味着文件一定以完全未加密的形式存放在物理存储介质上；Android 可以提供静态数据加密。关键在于：读取相册文件的权限与在聊天中读取它的权限并不相同。有关整体保护边界的说明，请参阅端到端加密指南。
哪些应用能看到相册照片？
Android 共享媒体文档区分了应用专属文件与共享媒体。各应用的访问范围取决于操作系统版本、已授予的权限和文件选择方式；不能认为凡是能看到一张照片的应用，都能访问整个相册。
在受支持的设备和应用中，Android Photo Picker允许你只向应用提供选定的照片。如果有限的选择已能满足需求，就不要无故授予访问全部图片的权限。
用测试照片实际检查
- 给一个无关紧要的物品拍照，确保照片不包含个人信息或敏感位置。
- 在与可信任的人的对话中接收这张照片，观察手动保存之前，它是否会出现在相册中。
- 如果有自动保存选项，改变其状态，再用一张新图片检查结果。
- 在云照片应用中，检查相关文件夹是否已被选为备份对象。仅仅出现在相册中，并不能证明照片已上传到云端。
- 在 Android 权限设置中，限制不必要的应用对照片和视频的访问权限。菜单名称因设备制造商而异。
Livara 也需要进行相同的测试。仅凭安全页面上的附件加密说明，无法确定保存到相册的默认设置，也无法确认是否存在自动下载选项。
如果敏感照片已经保存
先找出生成新副本的途径，再分别检查聊天中的副本、相册文件、回收站和云账户。在一个位置删除后，删除操作可能会同步到其他位置，也可能不会；请阅读相应服务的指南，并检查结果。
大范围删除之前，请确保不会丢失仍然需要的图片或历史记录。清除应用数据并不等于清除缓存，前者可能删除密钥、设置或本地历史记录。不要为了处理相册问题，在没有恢复方案的情况下清除应用数据或重置设备。
普通删除也不能证明文件已被彻底清除到无法通过数字取证恢复。接收者已保存或分享的副本不受你控制。如果文件包含位置信息，还应另行了解消息与文件元数据这一主题。
常见问题
关闭自动下载就够了吗？
不一定。应用可能分别控制下载、保存到相册和备份。请检查现有设置，并用不含敏感信息的图片测试结果。
删除消息也会删除相册里的照片吗？
不要依赖这种行为。相册中的副本可能是独立文件；请分别检查本地副本和云端副本。
手机加密没有用吗？
不是。设备加密和访问控制是重要的保护层，但无法阻止设备解锁状态下每一个获授权应用或用户的访问。
