如何构建签名APK？如何检测APK是否已签名及相关技术疑问

一、检查APK是否未签名 #

三种实用验证方法：

• 用jarsigner命令（JDK自带）：
  打开终端执行：

  jarsigner -verify -verbose -certs your-app.apk
  

  若输出出现jar is unsigned，或完全无证书相关信息，说明APK未签名。
• 用apksigner工具（Android SDK的build-tools目录下）：
  执行：

  apksigner verify --verbose your-app.apk
  

  显示No signers found则为未签名APK。
• 解压文件检查：
  将APK后缀改为.zip并解压，查看META-INF文件夹内是否有.RSA/.DSA/.SF文件——没有则基本可确定未签名。

二、Play Store App Signing vs 本地密钥库 #

优先选Play Store App Signing，核心优势：

• 安全：Google托管核心发布密钥，你仅需管理自己生成的「上传密钥」，开发者无需接触核心密钥，彻底规避泄露风险。
• 容错性：若上传密钥丢失，可在Play Console申请重置；本地.jks文件一旦丢失/损坏，将永久无法更新现有应用。
• 功能拓展：支持应用完整性校验、动态交付等Google Play进阶功能，后续迭代更灵活。

若坚持用本地密钥库，必须严格保管.jks文件及对应密码，绝对不能随意分享，否则应用安全会面临极大威胁。

三、本地构建签名APK实操步骤 #

1. 将开发者提供的.jks文件存入本地安全路径（如加密文件夹，勿放在项目目录内）。
2. 打开Android Studio并加载你的项目。
3. 点击顶部菜单栏Build → Generate Signed Bundle/APK。
4. 选择APK选项，点击Next。
5. 在Key store path处选择.jks文件，依次输入Key store password、Key alias、Key password（这些信息需由开发者提供）。
6. 点击Next，选择Build Variants为release，勾选V2 Signature（Android 7.0+设备强制要求），可选同时勾选V1 Signature兼容旧设备。
7. 设置APK输出路径，点击Finish等待构建完成。
8. 用前面提到的apksigner或jarsigner工具验证签名是否成功。

四、Play Store App Signing配置步骤 #

1. 登录Google Play Console，进入应用后台，找到App signing选项（首次上传应用会引导配置，已上传应用可在Setup → App integrity中找到）。
2. 自行生成上传密钥，终端执行：

   keytool -genkeypair -v -keystore upload-keystore.jks -keyalg RSA -keysize 2048 -validity 10000 -alias upload
   

   按提示输入密钥库密码、别名密码等信息。
3. 导出上传密钥证书：

   keytool -export -rfc -keystore upload-keystore.jks -alias upload -file upload-cert.pem
   

4. 在Play Console上传upload-cert.pem，完成发布密钥托管配置。
5. 后续用上传密钥签名APK/AAB并上传至Play Store，Google会自动用托管的发布密钥重新签名后分发，全程无需开发者接触核心密钥。

内容的提问来源于stack exchange，提问作者Nazar007