本文介绍apk的签名机制。

一、APK签名

apk发布者需要使用android 密钥生成工具创建的keystore对apk进行签名。

二、APK升级

用于升级的新版本的apk必须使用原有的keystore进行签名，这样才能保证顺利升级。

采用RSA密钥机制对APK进行签名。
对比已签名和未签名的apk包，签名的apk包多了一个名为META-INF的文件夹，里面有三个文件：MANIFEST.MF、CERT.SF和CERT.RSA。这三个文件就是签名相关的文件。

遍历apk包中所有文件，对非文件夹、非签名文件的文件，逐个生成SHA1数字签名信息，再用Base64进行编码。之后生成的签名写入MANIFEST.MF文件。

对生成的MANIFEST.MF签名信息，使用SHA1-RSA算法，用私钥进行签名。

在CERT.RSA文件中保存公钥、所采用的加密算法等信息。

android原本的签名验证是怎么样的呢？在安装过程中，系统会读取apk包中的MANIFEST.MF、CERT.SF和CERT.RSA：

Apk包加密的公钥就打包在apk包内，且不同的私钥对应不同的公钥。公钥一致，则私钥一致。可以通过公钥的对比来判断私钥是否一致。(公钥与私钥是一一对应的关系，这种对应关系是怎么形成的？？谁分配私钥公钥。Answer：是由加密算法生成的)

jdk包提供以上工具，需自行安装jdk包。

keystore就是用来保存密钥对的，比如公钥和私钥。用jdk的keytool工具生成keystore：

1	keytool -genkey -alias test.keystore -keyalg RSA -validity 20000 -keystore test.keystore

Note：

输入keystore password后经过加密算法和加密工具生成私钥和公钥，要保护好password，因为只能用password打开keystore，然后访问key。

用私钥证书签名，用公钥证书验证。输入密码和developer信息后，使用一些算法生成相应的数字证书，其他人可以用这个数字证书来验证这个apk是不是该developer开发的。

通过.keystore文件生成*.cer证书文件:

1	Keytool -export -keystore test.keystore -alias test.keystore -file test.cer

Note：
将把证书库 test.keystore 中的别名为 test.keystore的证书导出到 test.cer 。证书文件中，它包含证书主体的信息及证书的公钥，不包括私钥，可以公开。

使用jarsigner工具对apk进行签名：

1	jarsigner -verbose -keystore test.keystore -signedjar HelloWorld_sign.apk Hello_un_sign.apk test.keystore

Note：

keystore test.keystore指定密钥库的位置
signedjar HelloWorld_signed.apk HelloWorld_unsign.apk test.keystore 依次是签名后的文件HelloWorld_signed.apk，要签名的文件HelloWorld_unsign.apk和密钥库test.keystore

只在程序安装时才检查证书的有效期：

已过期的key是无法再对apk进行签名的.