如何对比Google生成的APK与上传的App Bundle并复现处理流程？

一、为什么会出现文件差异？ #

Google Play在将App Bundle转换为分发APK时，会做标准化结构优化和资源处理，比如扁平化文件路径、压缩XML为二进制格式，这些都是正常的合规操作，并非篡改应用内容。

二、简便的归档文件对比方案 #

1. 路径映射后用diff工具对比 #

先通过脚本将Play下载的APK解压后的文件路径还原为App Bundle的结构，再用diff命令对比：

• 示例bash脚本（针对解压后的Play APK目录）：

  # 进入Play APK解压后的base目录
  cd play_apk_extracted/base
  # 创建对应目录
  mkdir -p dex root/kotlin
  # 移动DEX文件到dex目录
  mv classes*.dex dex/
  # 移动属性文件到root目录
  mv *.properties root/
  # 移动kotlin目录到root下
  mv kotlin root/
  

• 执行目录对比：

  diff -r original_bundle_extracted/ play_apk_extracted/
  

• 处理XML压缩差异：用xmllint格式化XML后再对比

  # 批量格式化原始Bundle和Play APK中的XML
  find original_bundle_extracted -name "*.xml" -exec xmllint --format {} -o {}_fmt \;
  find play_apk_extracted -name "*.xml" -exec xmllint --format {} -o {}_fmt \;
  # 对比格式化后的文件
  diff -r original_bundle_extracted/*_fmt play_apk_extracted/*_fmt
  

2. 用官方工具生成基准APK对比 #

使用Google官方的bundletool生成和Play分发逻辑一致的APK，再和下载的APK对比：

• 生成模拟Play的APK集合：

  bundletool build-apks --bundle=你的原始AppBundle.aab --output=generated_apks.apks --ks=你的本地签名密钥.jks --ks-pass=pass:密钥库密码 --ks-key-alias=密钥别名 --key-pass=pass:密钥密码
  

• 解压generated_apks.apks后，和Play下载的APK对比，除了META-INF/签名目录，其他内容应完全一致。

三、复现Google Play的APK处理步骤 #

1. 用bundletool还原完整流程 #

上面的bundletool build-apks命令就是官方复现Play APK生成的方式，它会自动处理路径扁平化、XML压缩等操作，和Play的处理逻辑完全对齐。

2. 解析Play的XML压缩 #

Play会将XML转换为二进制AXML格式，你可以用aapt2解析为文本后对比：

# 解析Play APK的AndroidManifest.xml
aapt2 dump xmltree play_downloaded.apk AndroidManifest.xml > play_manifest.txt
# 解析原始Bundle中base模块的AndroidManifest.xml
aapt2 dump xmltree original_bundle_base.apk AndroidManifest.xml > original_manifest.txt
# 对比文本内容
diff play_manifest.txt original_manifest.txt

四、核心验证要点 #

• 跳过META-INF/目录：这里的文件是Play管理签名密钥生成的，和本地签名不同，无需对比。
• 验证DEX完整性：用sha256sum对比路径还原后的DEX文件（未开启混淆时），或用dexdump查看类结构、方法数是否一致。
• 资源文件哈希对比：图片、音频等资源直接用md5sum或sha256sum对比，Play不会修改资源内容，仅可能优化存储格式（如自动转WebP，可在Play控制台查看是否开启该选项）。

内容的提问来源于stack exchange，提问作者Alai