如何使用同一密钥库签名APK以生成完全一致的结果？

用户构建流程生成的未签名APK哈希一致，但使用同一密钥库对该APK的副本签名后，得到的签名APK哈希却不一致：

1dd63064294febffc20a4611b25ad619  machine1/app-release-unsigned.apk
1dd63064294febffc20a4611b25ad619  machine2/app-release-unsigned.apk
57adfd7c2a7240dc9c3ed79a525f71be  machine1/app-release-signed.apk
91e9168e5d5242059408b4fdff0e34aa  machine2/app-release-signed.apk

用户持有原始密钥库，希望复现签名后哈希一致的APK，询问是否可行及对应的build.gradle修改方案，当前配置如下：

android {
    ...
    signingConfigs {
        release {
            storeFile file('../keystore.jks')
            storePassword 'secret-store-password'
            keyAlias 'release-key'
            keyPassword 'secret-key-password'
        }
    }
    buildTypes {
        release {
            signingConfig signingConfigs.release
        }
    }
}

可行性结论 #

完全可行，只要消除签名与打包过程中的可变因素，就能生成哈希一致的签名APK。

不一致的核心原因 #

默认流程中存在多个可变内容，导致最终APK哈希不同：

• 签名时间戳：每次签名都会生成新的时间戳并写入签名块
• APK压缩差异：不同环境下zlib压缩的参数或实现细节可能存在差异
• 签名块随机元数据：部分签名工具会添加随机生成的非必要属性

build.gradle 修改方案 #

通过配置固定签名参数和打包选项，消除可变因素：

android {
    ...
    signingConfigs {
        release {
            storeFile file('../keystore.jks')
            storePassword 'secret-store-password'
            keyAlias 'release-key'
            keyPassword 'secret-key-password'
            // 启用v1/v2签名（按需选择，确保兼容性）
            v1SigningEnabled true
            v2SigningEnabled true
            // 固定签名版本，避免引入可变特性
            enableV3Signing = true
            enableV4Signing = false
        }
    }
    buildTypes {
        release {
            signingConfig signingConfigs.release
            // 固定APK打包的压缩和时间属性
            packagingOptions {
                // 设置固定Unix时间戳（示例为2024-01-01 00:00:00）
                zipStoreTime = 1704067200
                zipStoreDateTime = 1704067200
                // 固定压缩级别，统一压缩结果
                zipCompressionLevel = 6
            }
            // 关闭资源处理中的可变优化
            androidResources {
                crunchPngs = false
                generateLocaleConfig = false
            }
        }
    }
    // 关闭可能引入可变内容的构建特性
    buildFeatures {
        buildConfig false
    }
}

额外注意事项 #

• 确保两台机器使用**完全相同版本的Android Gradle Plugin（AGP）**和JDK版本，工具版本差异会导致签名逻辑不同
• 若需要更精准的控制，可直接使用apksigner命令行工具，指定固定参数：

apksigner sign --ks keystore.jks --ks-pass pass:secret-store-password --key-pass pass:secret-key-password --min-sdk-version 24 --timestamp 1704067200 app-release-unsigned.apk

内容的提问来源于stack exchange，提问作者Ruben P. Grady