是否应弃用APK签名方案v3转而采用v3.1？

APK Signature Scheme v3 核心功能 #

Android 9（Pie，API 28）引入了APK Signature Scheme v3，该方案允许在APK签名块中添加密钥轮换证明记录，实现新旧签名证书的关联，专门用于帮助使用不安全密钥的旧应用更换为强密钥。使用v3进行密钥轮换需要手动管理新旧密钥对，并通过apksigner工具完成签名操作。

密钥轮换的历史适配进程 #

2020年5月的应用开发相关文章显示，当时官方的密钥升级流程并未启用v3的密钥轮换功能，官方团队正在研究相关支持方案。早期v3官方文档曾明确警告：在Android 11发布前不推荐使用APK密钥轮换；而Android 11仅对签名CLI命令做了调整，当年存在的工具层面问题现已不再影响使用。

APK Signature Scheme v3.1 优化特性 #

Android 13引入了APK Signature Scheme v3.1，默认用于带有轮换密钥和签名谱系的APK签名。该方案支持单APK在Android 13及以上设备上完成密钥轮换，同时通过保留v3.0签名块并使用原密钥签名，规避旧版本平台对v3方案的兼容问题。

两种方案的选择权衡 #

• 使用v3密钥轮换：覆盖Android 9及以上所有设备，让更多用户获得强密钥签名的应用更新
• 使用v3.1方案：仅支持Android 13及以上设备，只有该范围的用户能获取强密钥签名的更新

v3方案的已知问题及影响 #

v3方案的核心问题集中在早期版本系统的兼容性上：

1. Android 9/10设备验证失败：部分搭载Android 9或10的设备在验证带有密钥轮换记录的v3签名APK时，会出现签名验证失败，导致应用无法安装或完成更新，这也是早期官方不推荐在Android 11前使用该功能的主要原因。
2. 第三方应用商店适配滞后：v3方案推出初期，部分第三方应用商店未及时适配该签名格式，导致带有密钥轮换记录的APK无法正常上架或被用户下载，不过目前主流商店已完成适配，仅小众商店可能存在遗留问题。

内容的提问来源于stack exchange，提问作者Hélène Martin