关于APK的签名

Android系统要求每一个安装进系统的应用程序都是经过数字证书签名的，数字证书的私钥则保存在程序开发者的手中。Android将数字证书用来标识应用程序的作者和在应用程序之间建立信任关系，不是用来决定最终用户可以安装哪些应用程序。这个数字证书并不需要权威的数字证书签名机构认证，它只是用来让应用程序包自我认证的。

当我们用手机进行APK调试的时候，是用的默认的DEBUG签名进行安装。到工程下的bin目录也可以找到这个APK。但是想要直接发布这个包，一般不会通过的。如果要正式发布一个 Android 应用，必须使用一个合适的私钥生成的数字证书来给程序签名，而不能使用 adt 插件或者 ant 工具生成的调试证书来发布。

如果你希望用户无缝升级到新的版本，那么你必须用同一个证书进行签名。这是由于只有以同一个证书签名，系统才会允许安装升级的应用程序。如果你采用了不同的证书，那么系统会要求你的应用程序采用不同的包名称，在这种情况下相当于安装了一个全新的应用程序。如果想升级应用程序，签名证书要相同，包名称要相同！包名不一致升级  会安装新的APK，旧的APK不会管。签名不一致，包名一致的话，需要先卸载旧的APK 才能安装新版的。

签名的一些相关文件：

apk包中签名相关的文件在META_INF目录下
CERT.SF：生成每个文件相对的密钥
MANIFEST.MF：数字签名信息
xxx.SF：这是JAR文件的签名文件，占位符xxx标识了签名者
xxx.DSA：对输出文件的签名和公钥