使用 JarSigner 以编程方式验证 APK

Question

我想使用 JarSigner 从 Java 代码验证 APK。我正在编写一个以编程方式安装 APK 的应用程序（很像 Google Play），在安装它之前检查以下内容：

• 验证 .SF 文件本身的签名。验证列出的摘要 在 .SF 文件中的每个条目中与 清单。
  验证 .SF 文件中每个条目中列出的摘要 与清单中的每个相应部分。
  读取每个文件 在 .SF 文件中有条目的 JAR 文件。在读的时候， 计算文件的摘要，然后将结果与 清单部分中此文件的摘要。

这很像在命令行上使用 -verify 选项运行 jarsigner

我查阅了 Java 文档，我想我可以为此使用 JarSigner.verifyJar() API。但这不是公共方法。有没有人尝试从 Java 代码验证 APK？将不胜感激任何指针。

Answer 1

你可以像这样得到你的签名：

PackageInfo packageInfo = context.getPackageManager().getPackageInfo(
    context.getPackageName(), PackageManager.GET_SIGNATURES);

List<String> list = new ArrayList<>();

for (Signature signature : packageInfo.signatures) {
    MessageDigest md = MessageDigest.getInstance("SHA");
    md.update(signature.toByteArray());
    final String currentSignature = Base64.encodeToString(md.digest(), Base64.DEFAULT);
    list.add(currentSignature);
}

查看this article了解完整详情。