Android Studio中signingConfigs配置写入密码是否安全？

架构老林

2026-8-5

在Gradle的signingConfigs中明文写密码的安全问题

直接在Gradle文件的signingConfigs段中明文输入密码存在严重安全风险，必须重视，具体风险和应对方案如下：

核心风险点

代码泄露风险：如果Gradle文件被提交到Git等版本控制系统，密码会被所有能访问代码仓库的人员获取。一旦代码开源或权限管理不当，第三方可以直接使用你的签名密钥打包恶意应用，冒充你的官方应用发布。
本地环境风险：若你的电脑被他人临时使用、遭遇入侵，或本地文件被意外共享，明文密码会直接暴露，结合本地的签名密钥文件，你的签名身份可能被完全盗用。

安全替代方案

1. 使用系统环境变量

在系统环境变量中配置签名相关密码，Gradle通过读取环境变量获取值：

signingConfigs {
    release {
        storeFile file("your-keystore.jks")
        storePassword System.getenv("KEYSTORE_PASSWORD")
        keyAlias System.getenv("KEY_ALIAS")
        keyPassword System.getenv("KEY_PASSWORD")
    }
}

2. 使用本地属性文件

创建local.properties文件（务必添加到.gitignore，避免提交到代码仓库），写入密码信息：

keystore.password=your_secure_password
key.alias=your_key_alias
key.password=your_key_password

然后在Gradle中读取该文件的配置：

def localProperties = new Properties()
localProperties.load(new FileInputStream(rootProject.file("local.properties")))

signingConfigs {
    release {
        storeFile file("your-keystore.jks")
        storePassword localProperties.getProperty("keystore.password")
        keyAlias localProperties.getProperty("key.alias")
        keyPassword localProperties.getProperty("key.password")
    }
}