Google Play安卓应用App Signing Key与Upload Signing Key的差异及TWA场景下密钥适配问题咨询

为什么本地APK和Play商店发布版本要求的密钥不同？ #

这本质是Google Play App Signing机制导致的差异：

• 当你通过Play商店发布应用时，Google会替换你上传的APK签名：你用Upload Signing Key签名的APK上传后，Google Play会用官方托管的App Signing Key重新签名最终发布给用户的APK。所以用户从Play商店下载的TWA应用，实际是用App Signing Key签名的，TWA验证网站关联时自然需要匹配这个密钥的指纹。
• 而你本地安装的APK，是直接用你自己的Upload Signing Key签名的（没有经过Google Play的重新签名步骤），所以TWA验证时只能匹配Upload Signing Key的指纹。

至于工具输出差异：

• Bubblewrap的bubblewrap fingerprint generateAssetLinks命令默认针对Play商店发布场景，所以直接读取的是你配置的App Signing Key信息。
• keytool -printcert -jarfile app-release-signed.apk | grep SHA256命令是直接读取本地APK的签名信息，而这个APK是你用Upload Signing Key签的，所以输出的是Upload Key的指纹。

同时上传两个SHA256指纹到assetlinks.json是否安全？ #

完全安全，而且这是支持本地测试+Play商店发布的常用方案：

• assetlinks.json的核心作用是验证“特定签名的应用”与“当前网站”的关联关系，只要这两个密钥都是你自己控制的（一个是你的Upload Key，一个是Google托管的App Signing Key），添加进去不会有任何安全风险。
• 这样做的好处是不用来回修改assetlinks.json：本地测试时TWA会匹配Upload Key的指纹，Play商店版本会匹配App Signing Key的指纹，两种场景都能正常通过验证。

唯一需要注意的是：不要添加任何不属于你自己的密钥指纹，避免恶意应用关联到你的网站。

内容的提问来源于stack exchange，提问作者NicoHood