如何在QT6.4安卓应用中使用Android Keystore存储ECDSA私钥？

明文文本存储私钥完全不可取——其他应用只要能访问存储权限就能读取，严重威胁密钥安全。Android Keystore是安卓官方提供的安全存储方案，完美适配你的场景：它会将密钥加密存储在设备的硬件安全模块（HSM，若设备支持），任何应用（包括你的APP）都无法直接获取明文私钥，只能通过Keystore提供的API执行签名等操作。

下面是具体实现步骤，针对QT6.4跨平台开发的场景：

1. 编写安卓原生JNI桥接代码 #

QT本身没有封装Android Keystore的API，需要通过JNI调用安卓原生代码。创建一个Java类，封装密钥导入、签名逻辑：

package com.your.app.package; // 替换成你的APP包名

import android.security.keystore.KeyStore;
import java.security.PrivateKey;
import java.security.Signature;
import java.security.spec.PKCS8EncodedKeySpec;
import java.security.KeyFactory;
import android.util.Base64;

public class KeystoreKeyManager {
    private static final String KEYSTORE_ALIAS = "app_ecdsa_sign_key"; // 自定义密钥别名，唯一标识你的私钥
    private static final String KEYSTORE_TYPE = "AndroidKeyStore";

    // 将远程生成的ECDSA私钥（Base64编码的PKCS#8格式）导入Keystore
    public static boolean importECDSAPrivateKey(String base64Pkcs8Key) {
        try {
            KeyStore keyStore = KeyStore.getInstance(KEYSTORE_TYPE);
            keyStore.load(null);

            // 解码Base64格式的PKCS#8私钥
            byte[] keyBytes = Base64.decode(base64Pkcs8Key, Base64.DEFAULT);
            PKCS8EncodedKeySpec keySpec = new PKCS8EncodedKeySpec(keyBytes);
            PrivateKey privateKey = (PrivateKey) KeyFactory.getInstance("EC").generatePrivate(keySpec);

            // 将私钥存入Keystore
            keyStore.setEntry(KEYSTORE_ALIAS, new KeyStore.PrivateKeyEntry(privateKey, null), null);
            return true;
        } catch (Exception e) {
            e.printStackTrace();
            return false;
        }
    }

    // 使用Keystore中的私钥执行ECDSA签名（SHA256withECDSA算法）
    public static String signData(String plainData) {
        try {
            KeyStore keyStore = KeyStore.getInstance(KEYSTORE_TYPE);
            keyStore.load(null);
            PrivateKey privateKey = (PrivateKey) keyStore.getKey(KEYSTORE_ALIAS, null);

            Signature signature = Signature.getInstance("SHA256withECDSA");
            signature.initSign(privateKey);
            signature.update(plainData.getBytes());

            byte[] signBytes = signature.sign();
            return Base64.encodeToString(signBytes, Base64.DEFAULT);
        } catch (Exception e) {
            e.printStackTrace();
            return null;
        }
    }
}

注意：远程生成的私钥必须转换为PKCS#8格式，这是Android Keystore支持的私钥导入格式。如果远程返回的是其他格式（比如原始EC私钥），需要先在服务器端转换为PKCS#8再下发。

2. 在QT C++代码中调用JNI方法 #

使用QT的QAndroidJniObject工具类，调用上面的Java方法：

#include <QAndroidJniObject>
#include <QAndroidJniEnvironment>
#include <QString>

// 导入私钥到Android Keystore
bool importECDSAKeyToKeystore(const QString& base64Pkcs8Key) {
    QAndroidJniObject jniKeyStr = QAndroidJniObject::fromString(base64Pkcs8Key);
    bool success = QAndroidJniObject::callStaticMethod<jboolean>(
        "com/your/app/package/KeystoreKeyManager", // 替换成你的Java类全路径
        "importECDSAPrivateKey",
        "(Ljava/lang/String;)Z", // 方法签名
        jniKeyStr.object<jstring>()
    );
    return success;
}

// 使用Keystore中的私钥签名数据
QString signWithECDSAKey(const QString& dataToSign) {
    QAndroidJniObject jniDataStr = QAndroidJniObject::fromString(dataToSign);
    QAndroidJniObject jniSignResult = QAndroidJniObject::callStaticObjectMethod(
        "com/your/app/package/KeystoreKeyManager",
        "signData",
        "(Ljava/lang/String;)Ljava/lang/String;",
        jniDataStr.object<jstring>()
    );

    if (jniSignResult.isValid()) {
        return jniSignResult.toString();
    }
    return QString();
}

3. QT项目配置注意事项 #

• 确保安卓SDK版本≥API 18（Android 4.3），QT6.4默认的安卓SDK版本满足此要求。
• 在AndroidManifest.xml中无需额外权限，Keystore操作属于系统级安全操作，不需要申请存储或其他权限。
• 打包APK时，开启混淆（如果需要），但要确保KeystoreKeyManager类不被混淆，可在proguard-rules.pro中添加：

  -keep class com.your.app.package.KeystoreKeyManager { *; }
  

优化建议 #

1. 优先让Keystore生成密钥对：如果业务允许，不要从远程导入私钥，改为让安卓设备通过Keystore直接生成ECDSA密钥对，然后将公钥上传到服务器。这样私钥永远不会离开Keystore，安全性更高。
2. 密钥别名唯一化：可以结合APP包名或设备ID生成唯一别名，避免和其他应用的密钥冲突。
3. 异常处理：在JNI调用时捕获可能的异常（比如设备不支持Keystore、密钥导入失败等），给用户明确的错误提示。

内容的提问来源于stack exchange，提问作者user2496228