Android应用完整性简易校验方案的弊端及官方方案推荐原因咨询

1. 简易签名校验代码的弊端 #

该方案存在不少核心弊端，具体如下：

• 客户端数据可被伪造：运行在用户设备上的客户端代码极易被Hook工具（如Frida、Xposed）篡改，攻击者可劫持signingInfo相关方法，直接返回后端存储的原始签名值，让后端误判篡改后的APK为合法应用。
• 不兼容Google Play签名机制：若你的应用开启了「Google Play应用签名」，用户设备上的APK是由Google的应用签名密钥重新签名的，而非你本地的release.keystore签名。用这段代码获取的签名会和后端存储的原始值不匹配，导致合法应用被误判为篡改。
• 校验维度过于单一：仅校验签名无法覆盖所有风险——比如攻击者可对篡改后的APK进行二次签名，再通过Hook客户端返回原始签名绕过校验；同时也无法识别应用运行在Root设备、模拟器等高危环境下的风险。
• 传输环节存在漏洞：即便用HTTPS传输，客户端发送的签名信息仍可能被篡改后再加密，中间人可替换传输的签名值，让后端校验通过。

2. Google推荐Play Integrity API的原因 #

Play Integrity API并非冗余的复杂方案，而是从根源上解决了简易签名校验的核心问题：

• 验证链路不可篡改：Play Integrity的流程是客户端向Google请求加密令牌，后端将令牌发送至Google服务器校验结果。令牌由Google签名，客户端无法伪造，后端只能通过官方API验证真伪，彻底避免了客户端篡改验证数据的可能。
• 全维度安全校验：除签名校验外，它还能验证应用是否来自官方Play Store、设备是否处于安全状态（无Root、无篡改框架）、应用二进制是否被篡改，覆盖了从应用到设备的全链路风险，而简易方案仅能覆盖单一签名维度。
• 原生适配Play生态：自动兼容「Google Play应用签名」机制，无需手动维护Google的签名密钥，Google服务器会自动关联你的应用合法签名信息，避免合法应用被误判。
• 应对复杂攻击场景：针对Root设备、模拟器、恶意注入等常见攻击手段，Play Integrity能直接在验证结果中返回风险提示，让你可以针对性限制应用功能，而简易方案完全无法识别这类环境风险。

内容的提问来源于stack exchange，提问作者Housefly