Android应用签名遇META-INF文件未签名警告，能否上架Google Play？

1. 忽略这些警告并发布到Google Play是否安全？ #

是的，完全安全。

• 从构建日志可见，应用已通过v1、v2、v3签名方案的验证，这三种是Google Play要求的核心签名机制，足以保证应用核心代码、资源的完整性，防止恶意篡改。
• 未被签名的均为META-INF目录下的依赖版本文件（如*.version）和构建元数据文件（如app-metadata.properties），这类文件仅用于记录依赖版本、构建流程信息，不属于应用可执行逻辑或敏感资源。即便被篡改，也不会影响应用正常运行，更不会破坏应用整体安全性。
• Google Play不会因这类警告拒绝应用上架，只要核心签名验证通过，即可正常发布。

2. 这些文件未被签名的原因是什么？ #

这类文件未被签名主要源于以下两点：

• 构建工具默认规则：Android Gradle插件在构建过程中自动生成依赖版本文件和构建元数据，它们被归类为"非核心元数据"，默认被排除在签名范围之外。v2/v3签名方案会对APK/AAB的核心内容（代码、资源、库文件等）进行整体签名，但会忽略META-INF下的纯信息类文件。
• 签名流程时机问题：Qt Creator通过androiddeployqt工具完成签名，这些元数据文件可能是在签名步骤之后被追加到包中的，因此未被纳入签名范围。由于这类文件不影响应用完整性校验，构建工具不会特意为其重新执行签名操作。

内容的提问来源于stack exchange，提问作者Alexey Starinsky