如何获取上传至Google Play/App Store后应用的MD5校验值？

本地构建的appbundle/ipa的MD5哈希值，没法直接和用户从应用商店下载的最终安装包匹配——因为Google Play和App Store都会对上传的包做二次处理，改变了二进制文件的内容。

分平台具体原因 #

Google Play #

• 上传appbundle后，Google Play会根据不同设备的架构（arm64、x86等）生成拆分后的APK或专属App Bundle，这些分发文件和你本地的原始appbundle完全是不同的二进制文件，哈希值自然不一致。
• 就算你上传的是完整APK，Google Play也可能做签名优化、资源压缩等操作，同样会改变文件哈希。

App Store #

• 上传IPA后，苹果会做代码重签名、App Thinning（根据设备型号裁剪冗余资源）、二进制加密等操作，用户最终下载的文件和你本地的原始IPA没有任何哈希匹配的可能。

可行的校验方案 #

方案1：应用内实时校验核心文件 #

跳过安装包层面，在应用启动后计算自身核心可执行文件的哈希值，和你预先发布的官方值对比：

• Android端：通过Flutter的MethodChannel调用原生代码，读取/data/app/[你的包名]/lib/[对应架构]/libapp.so（Flutter核心库文件）的内容，计算MD5或SHA256，再和官方值比对。
• iOS端：同样通过MethodChannel调用原生代码，读取主可执行文件（路径类似YourApp.app/YourApp）的内容计算哈希，注意沙箱权限限制。
• 最终在Flutter UI层展示计算结果，让用户和你公开的官方哈希值核对。

方案2：引导用户使用商店官方验证机制 #

• Google Play：如果你的应用启用了Play Integrity功能，用户可以通过商店的“应用完整性”验证功能确认版本合法性，你直接引导用户用这个官方方式就行，不用自己维护哈希。
• App Store：iOS系统本身会强制验证应用签名，非官方渠道的应用根本没法正常安装（越狱除外），你可以直接告知用户：从App Store下载的应用默认经过苹果官方验证，无需额外校验哈希。

方案3：仅针对非商店分发渠道提供哈希 #

如果是企业私有分发（比如Android私有APK、iOS企业IPA），这种场景下没有应用商店的二次处理，用户下载的文件和你构建的完全一致，这时候你可以直接提供构建后包的哈希值供用户核对。

内容的提问来源于stack exchange，提问作者Andrew Cranwell