Android签名与风险分析

Android签名概括：

在Android 系统中，所有安装到系统的应用程序都必有一个数字证书，这个数字证书就是这个应用的签名。此数字证书用于标识应用程序的作者和在应用程序之间建立信任关系,如果一个 permission的protectionLevel为signature，那么就只有那些跟该permission所在的程序拥有同一个数字证书的应 用程序才能取得该权限。这个数字证书并不需要权威的数字证书签名机构认证，它只是用来让应用程序包自我认证的。

Android签名作用：

为了保证每个应用程序开发商合法ID，防止部分开放商可能通过使用相同的Package Name来混淆替换已经安装的程序，冒充原来的应哟功能。我们需要对我们发布的APK文件进行唯一签名，保证我们每次发布的版本的一致性(如自动更新不会因为版本不一致而无法安装)。

概括起来有以下几点：

（1 )  发送者的身份认证

（2）保证输入信息的完整性

（3）防止交易中的抵赖发生

Android签名方法：

方法一： 使用keytool和jarsigner命令

创建key，需要用到 keytool，使用产生的key对apk签名用到的是jarsigner。

keytool -genkey -alias demo.keystore -keyalg RSA -validity 40000 -keystore demo.keystore

/*说明：-genkey 产生密钥

-alias demo.keystore 别名 demo.keystore

-keyalg RSA 使用RSA算法对签名加密

-validity 40000 有效期限4000天

-keystore demo.keystore */

jarsigner -verbose -keystore demo.keystore -signedjar demo_signed.apk demo.apk demo.keystore

说明：-verbose 输出签名的详细信息