安全穩定 | Android APK簽名教程

一、為什麼要進行APK簽名

在Android開發中，APK簽名是非常重要的一步，因為簽名可以保證APK的安全性和完整性。在Android系統中，只有被簽名的APK才能夠被安裝和啟動，而且Android系統也會根據簽名來驗證APK的合法性，以防止APK被篡改或者替換。

另外，如果你的APK需要上傳到Google Play Store，那麼你還需要對APK進行V1或V2簽名，否則APK無法上架。

二、APK簽名的兩種方式

在Android開發中，一般使用下面兩種方式對APK進行簽名：

V1簽名：是一種傳統的簽名方式，在APK中添加一個META-INF目錄，用於存儲簽名文件和證書。V1簽名要求你必須有一個私鑰，並且私鑰必須保存在本地，一旦私鑰泄露，那麼簽名也就失效了。V1簽名只能保證APK的完整性，無法驗證APK的來源是否可信。

V2簽名：是一種全新的簽名方式，相較於V1簽名，V2簽名使用的是哈希演算法而非數字簽名，因此能夠更加有效地保證APK的完整性和安全性。V2簽名還支持APK文件的增量更新，只需要上傳差異文件，而無需上傳整個APK文件。

三、進行APK簽名的步驟

步驟1：準備簽名所需的證書

keytool -genkey -v -keystore my-release-key.jks -keyalg RSA -keysize 2048 -validity 10000 -alias my-alias

這個命令會讓你輸入一些證書相關的信息，包括國家、單位、名稱、密碼等。最後會在當前目錄下生成一個名為my-release-key.jks的證書文件。

步驟2：在build.gradle文件中添加簽名配置

android {
    ...
    defaultConfig { ... }
    signingConfigs {
        release {
            storeFile file("my-release-key.jks")
            storePassword "password"
            keyAlias "my-alias"
            keyPassword "password"
        }
    }
    buildTypes {
        release {
            signingConfig signingConfigs.release
            ...
        }
    }
}

這個命令將簽名配置放到了build.gradle文件中，你需要將文件中的storeFile、storePassword、keyAlias和keyPassword替換成自己簽名所需的信息。

步驟3：構建APK文件並進行簽名

./gradlew assembleRelease

這個命令會生成一個名為app-release.apk的文件，即為已簽名的APK文件。你可以在build/outputs/apk/目錄下找到這個文件。

四、如何驗證APK是否已經簽名

你可以通過下面的命令來驗證APK是否已經被簽名：

jarsigner -verify -verbose -certs app-release.apk

這個命令會輸出有關APK簽名相關的信息，如果APK沒有被簽名，那麼將會提示「jar is unsigned」。

五、總結

APK簽名是Android開發中非常重要的一環，它可以保證APK的安全性和完整性。在進行APK簽名時，我們可以使用V1簽名或者V2簽名。簽名步驟主要包括準備簽名所需的證書、在build.gradle文件中添加簽名配置和構建並簽名APK文件。在進行APK簽名後，我們還可以通過jarsigner命令來驗證APK是否已經被簽名。