Android系統(tǒng)簽名

有時(shí)候，我們開發(fā)的apk需要用到系統(tǒng)權(quán)限，需要在AndroidManifest.xml中添加共享系統(tǒng)進(jìn)程屬性：

創(chuàng)新互聯(lián)公司主營云巖網(wǎng)站建設(shè)的網(wǎng)絡(luò)公司,主營網(wǎng)站建設(shè)方案,成都APP應(yīng)用開發(fā),云巖h5成都微信小程序搭建,云巖網(wǎng)站營銷推廣歡迎云巖等地區(qū)企業(yè)咨詢

這時(shí)候apk的簽名就需要是系統(tǒng)簽名(platform、shared或media)才能正常使用。

常用系統(tǒng)簽名方式

這種方式比較麻煩，你需要有編譯過的源碼環(huán)境，并按如下步驟：

1、拷貝App源碼到Android源碼的packages/apps/目錄下，且App源碼是普通(Eclipse)格式的

2、配置Android.mk，在其中添加

3、使用mm編譯App，生成的apk即系統(tǒng)簽名

這種方式比在源碼環(huán)境下簽名簡單，App可以在Eclipse或Android Studio下編譯，然后給apk重新簽名即可。

但這種方式在頻繁調(diào)試的時(shí)候比較痛苦，即使寫成腳本，也需要重復(fù)一樣的操作。

相關(guān)文件

platform.x509.pem、platform.pk8、signapk.jar

文件位置

platform.x509.pem、platform.pk8:

signapk.jar:

signapk源碼路徑:

簽名命令

步驟

1、將相關(guān)文件及源apk文件置于同一路徑下

2、檢查源apk包，去掉META-INF/CERT.SF 和 META-INF/CERT.RSA 文件

3、執(zhí)行簽名命令即可

讓Android Studio集成系統(tǒng)簽名，需要用到一個(gè)工具 keytool-importkeypair ，詳見下文。

這個(gè)工具的作用是將系統(tǒng)簽名的相關(guān)信息導(dǎo)入到已有的簽名文件里。

工具的使用方法可以通過–help或README.textile來尋求幫助

platform.x509.pem、platform.pk8、keytool-importkeypair、demo.jks、signature.sh

我的做法是在App根目錄新建Signature文件夾專門存放簽名相關(guān)文件。

步驟

1、生成demo.jks簽名文件

2、編寫簽名腳本signature.sh，內(nèi)容如下：

為腳本文件添加可執(zhí)行權(quán)限：

執(zhí)行腳本：

3、配置builde.gradle

在android區(qū)域下(與defaultConfig同級(jí))添加配置：

這樣debug或release apk就帶有系統(tǒng)簽名了。

如果想直接Run app就是release版且?guī)到y(tǒng)簽名的apk，還需修改：

這樣直接Run app就是帶系統(tǒng)簽名的release版apk了。

android 系統(tǒng)簽名

也有提到怎么單獨(dú)給一個(gè)apk簽名，這里補(bǔ)充一下android的簽名權(quán)限控制機(jī)制。

android的標(biāo)準(zhǔn)簽名key有：

?testkey

?media

latform

hared

以上的四種，可以在源碼的/build/target/product/security里面看到對應(yīng)的密鑰，其中shared.pk8代表私鑰，shared.x509.pem公鑰，一定是成對出現(xiàn)的。

其中testkey是作為android編譯的時(shí)候默認(rèn)的簽名key，如果系統(tǒng)中的apk的android.mk中沒有設(shè)置LOCAL_CERTIFICATE的值，就默認(rèn)使用testkey。

而如果設(shè)置成：

LOCAL_CERTIFICATE := platform

就代表使用platform來簽名，這樣的話這個(gè)apk就擁有了和system相同的簽名，因?yàn)橄到y(tǒng)級(jí)別的簽名也是使用的platform來簽名，此時(shí)使用android:sharedUserId="android.uid.system"才有用！

?在/build/target/product/security目錄下有個(gè)README，里面有說怎么制作這些key以及使用問題（android4.2）：

?從上面可以看出來在源碼下的/development/tools目錄下有個(gè)make_key的腳本，通過傳入兩個(gè)參數(shù)就可以生成一對簽名用的key。

其中第一個(gè)為key的名字，一般都默認(rèn)成android本身有的，因?yàn)楹芏嗟胤蕉寄J(rèn)使用了這些名字，我們自定義的話只需要對第二個(gè)參數(shù)動(dòng)手腳，定義如下：

C --- Country Name (2 letter code) ST --- State or Province Name (full name) L --- Locality Name (eg, city) O --- Organization Name (eg, company) OU --- Organizational Unit Name (eg, section) CN --- Common Name (eg, your name or your server’s hostname) emailAddress --- Contact email addre

另外在使用上面的make_key腳本生成key的過程中會(huì)提示輸入password，我的處理是不輸入，直接enter，不要密碼！后面解釋，用自定義的key替換/security下面的。

可以看到android源碼里面的key使用的第二個(gè)參數(shù)就是上面README里面的，是公開的，所以要release版本的系統(tǒng)的話，肯定要有自己的簽名key才能起到一個(gè)安全控制作用。

在上面提到如果apk中的編譯選項(xiàng)LOCAL_CERTIFICATE沒有設(shè)置的話，就會(huì)使用默認(rèn)的testkey作為簽名key，我們可以修改成自己想要的key，按照上面的步驟制作一個(gè)releasekey，修改android配置在/build/core/config.mk中定義變量：

在主makefile文件里面：

ifeq?($(DEFAULT_SYSTEM_DEV_CERTIFICATE),build/target/product/security/releasekey)

BUILD_VERSION_TAGS?+=?release-key

這樣的話默認(rèn)的所有簽名將會(huì)使用releasekey。

修改完之后就要編譯了，如果上面的這些key在制作的時(shí)候輸入了password就會(huì)出現(xiàn)如下錯(cuò)誤：

我在網(wǎng)上找到了合理的解釋：

其實(shí)會(huì)出現(xiàn)這個(gè)錯(cuò)誤的最根本的原因是多線程的問題。在編譯的時(shí)候?yàn)榱思铀僖话愣紩?huì)執(zhí)行make -jxxx，這樣本來需要手動(dòng)輸入密碼的時(shí)候，由于其它線程的運(yùn)行，就會(huì)導(dǎo)致影響當(dāng)前的輸入終端，所以就會(huì)導(dǎo)致密碼無法輸入的情況！

再編譯完成之后也可以在build.prop中查看到變量：

這樣處理了之后編譯出來的都是簽名過的了，系統(tǒng)才算是release版本

我發(fā)現(xiàn)我這樣處理之后，整個(gè)系統(tǒng)的算是全部按照我的要求簽名了。

網(wǎng)上看到還有另外的簽名release辦法，但是應(yīng)該是針對另外的版本的，借用學(xué)習(xí)一下：

make?-j4?PRODUCT-product_modul-user?dist

這個(gè)怎么跟平時(shí)的編譯不一樣,后面多了兩個(gè)參數(shù)PRODUCT-product_modul-user 和 dist. 編譯完成之后回在源碼/out/dist/目錄內(nèi)生成個(gè)product_modul-target_files開頭的zip文件.這就是我們需要進(jìn)行簽名的文件系統(tǒng).

我的product_modul 是full_gotechcn,后面加“-user”代表的是最終用戶版本，關(guān)于這個(gè)命名以及product_modul等可參考

編譯出需要簽名的zip壓縮包之后，就是利用/security下面的準(zhǔn)備的key進(jìn)行簽名了：

./build/tools/releasetools/sign_target_files_apks?-d?/build/target/product/security??out/dist/full_gotechcn-target_files.zip???out/dist/signed_target_files.zi

簽名目標(biāo)文件 輸出成signed_target_files.zi

如果出現(xiàn)某些apk出錯(cuò)，可以通過在full_gotechcn-target_files.zip前面加參數(shù)"-e =" 來過濾這些apk.

然后再通過image的腳本生成imag的zip文件，這種方式不適用與我目前的工程源碼，沒有做過多驗(yàn)證！

Android簽名機(jī)制可劃分為兩部分：（1）ROM簽名機(jī)制；（2）第三方APK簽名機(jī)制。

Android APK實(shí)際上是一個(gè)jar包，而jar包又是一個(gè)zip包。APK包的簽名實(shí)際上使用的是jar包的簽名機(jī)制：在zip中添加一個(gè)META的子目錄，其中存放簽名信息；而簽名方法是為zip包中的每個(gè)文件計(jì)算其HASH值，得到簽名文件(*.sf)，然后對簽名文件(.sf)進(jìn)行簽名并把簽名保存在簽名塊文件(*.dsa)中。

在編譯Android源碼生成ROM的過程中，會(huì)使用build/target/product/security目錄中的4個(gè)key（media, platform, shared, testkey）來對apk進(jìn)行簽名。其中，*.pk8是二進(jìn)制形式（DER）的私鑰，*.x509.pem是對應(yīng)的X509公鑰證書（BASE64編碼）。build/target/product/security目錄中的這幾個(gè)默認(rèn)key是沒有密碼保護(hù)的，只能用于debug版本的ROM。

要生成Release版本的ROM，可先生成TargetFiles，再使用帶密碼的key對TargetFiles重新簽名，最后由重簽名的TargetFiles來生成最終的ROM。

可以使用Android源碼樹中自帶的工具“development/tools/make_key”來生成帶密碼的RSA公私鑰對（實(shí)際上是通過openssl來生成的）: $ development/tools/make_key media ‘/C=CN/ST=Sichuan/L=Chengdu/O=MyOrg/OU=MyDepartment/CN=MyName’ 上面的命令將生成一個(gè)二進(jìn)制形式（DER）的私鑰文件“media.pk8”和一個(gè)對應(yīng)的X509公鑰證書文件“media.x509.pem”。其中，/C表示“Country Code”，/ST表示“State or Province”，/L表示“City or Locality”，/O表示“Organization”，/OU表示“Organizational Unit”，/CN表示“Name”。前面的命令生成的RSA公鑰的e值為3，可以修改development/tools/make_key腳本來使用F4 (0×10001)作為e值（openssl genrsa的-3參數(shù)改為-f4）。

也可以使用JDK中的keytool來生成公私鑰對，第三方APK簽名一般都是通過keytool來生成公私鑰對的。

可以使用openssl x509命令來查看公鑰證書的詳細(xì)信息： $ openssl x509 -in media.x509.pem -text -noout or, $ openssl x509 -in media.x509.pem -inform PEM -text -noout

還可以使用JDK中的keytool來查看公鑰證書內(nèi)容，但其輸出內(nèi)容沒有openssl x509全面： $ keytool -printcert -v -file media.x509.pem

有了key之后，可以使用工具“build/tools/releasetools/sign_target_files”來對TargetFiles重新簽名： $ build/tools/releasetools/sign_target_files_apks -d new_keys_dir -o target_files.zip target_files_resigned.zip 其中，new_keys_dir目錄中需要有四個(gè)key（media, platform, shared, releasekey）。注意：這里的releasekey將代替默認(rèn)的testkey（請參考build/tools/releasetools/sign_target_files腳本實(shí)現(xiàn)），也就是說，如果某個(gè)apk的Android.mk文件中的LOCAL_CERTIFICATE為testkey，那么在生成TargetFiles時(shí)是使用的build/target/product/security/testkey來簽名的，這里重新簽名時(shí)將使用new_keys_dir/releasekey來簽名。

uild/tools/releasetools/sign_target_files_apks是通過host/linux-x86/framework/signapk.jar來完成簽名的。也可以直接使用host/linux-x86/framework/signapk.jar來對某個(gè)apk進(jìn)行簽名： $ java -jar signapk [-w] publickey.x509[.pem] privatekey.pk8 input.jar output.jar 其中，”-w”表示還對整個(gè)apk包(zip包）進(jìn)行簽名，并把簽名放在zip包的comment中。

對于第三方應(yīng)用開發(fā)者而言，對APK簽名相對要簡單得多。第三方應(yīng)用開發(fā)一般采用JDK中的keytool和jarsigner來完成簽名密鑰的管理和APK的簽名。

使用keytool來生成存儲(chǔ)有公私鑰對的keystore： $ keytool -genkey -v -keystore my-release-key.keystore -alias mykey -keyalg RSA -keysize 2048 -validity 10000

查看生成的密鑰信息： $ keytool -list -keystore my-release-key.keystore -alias mykey -v or, $ keytool -list -keystore my-release-key.keystore -alias mykey -rfc （注：獲取Base64格式的公鑰證書，RFC 1421）

導(dǎo)出公鑰證書： $ keytool -export -keystore mystore -alias mykey -file my.der （注：二進(jìn)制格式公鑰證書，DER） $ keytool -export -keystore mystore -alias mykey -file my.pem -rfc （注：Base64格式公鑰證書，PEM）

對APK進(jìn)行簽名： $ jarsigner -verbose -keystore my-release-key.keystore my_application.apk mykey

驗(yàn)證簽名： $ jarsigner -verify -verbose -certs my_application.apk

在進(jìn)行Android二次開發(fā)時(shí)，有時(shí)需要把build/target/product/security下面的公私鑰對轉(zhuǎn)換為keystore的形式，可以參考這篇文章：把Android源碼中的密碼對轉(zhuǎn)換為keystore的方法。

Android APP的簽名

Android APP的簽名

Android項(xiàng)目以它的包名作為唯一的標(biāo)識(shí)，如果在同一部手機(jī)上安裝兩個(gè)包名相同的APP，后者就會(huì)覆蓋前面安裝的應(yīng)用。為了避免Android APP被隨意覆蓋，Android要求對APP進(jìn)行簽名。下面介紹對APP進(jìn)行簽名的步驟

1、選擇builder菜單下的Generate Signed APK

2、彈出簽名向?qū)υ捒?/p>

3、在該對話框中選擇數(shù)字證書，如果沒有數(shù)字證書，可以點(diǎn)擊Create new按鈕，創(chuàng)建數(shù)字證書如下圖所示：

4、輸入證書的存儲(chǔ)路徑及文件名稱，密碼，有效年份，發(fā)布人員的姓名，單位，所在城市，省份，國家等信息，后點(diǎn)擊OK按鈕，如下圖所示，系統(tǒng)會(huì)自動(dòng)帶入密碼

5、點(diǎn)擊Next選擇簽名后的安裝包存放路徑，構(gòu)建類型，點(diǎn)擊finish完成安裝包的構(gòu)建

注意：

v2是Android 7.0中引入了簽名版本，v1是jar Signature來自JDK，只勾選v1簽名并不會(huì)影響什么，但是在7.0上不會(huì)使用更安全的驗(yàn)證方式，只勾選V2簽名7.0以下會(huì)直接安裝完顯示未安裝，7.0以上則使用了V2的方式驗(yàn)證，為了保證兼容性，可以同時(shí)勾選V1和V2。

在Debug調(diào)試版本中，默認(rèn)會(huì)調(diào)用調(diào)試用的簽名證書debug.keystore，該證書默認(rèn)存放在C:\Users你的用戶名.android下。

包名和簽名都相同的APP才可以覆蓋安裝