升级签名密钥后旧keystore.jks无法更新Google Play应用咨询

首先明确核心结论：不要直接用全新生成的证书创建keystore提交更新。Google Play对同包名应用的更新有强签名校验逻辑，要求安装包的签名证书指纹必须和后台已登记的指纹完全匹配，全新生成的证书指纹和你当前后台要求的指纹无关联，提交时必然继续报签名错误。

你之前导入新证书到现有keystore操作失败的核心原因是：你导入的大概率是仅包含公钥的证书文件，这类文件不包含签名必需的私钥信息，仅能做信任校验使用，根本无法用来完成AAB/APK的签名流程，自然无法生效。

按以下步骤排查修复即可：

• 先确认你触发签名升级时的场景，目前Google Play提示的签名强度升级分两类，对应处理逻辑不同
  • 若你已开启Google Play应用签名功能（绝大多数开发者升级时的默认场景）
    这类升级操作是在Play Console端完成的，升级完成后后台会更新要求的上传密钥指纹、应用签名密钥指纹，你本地持有的旧keystore如果还是弱算法、短长度的旧密钥，签出的包自然无法通过校验。
    • 第一步先进入Play Console的「应用完整性」-「应用签名」页面，复制页面明确标注的上传密钥对应的SHA256指纹
    • 第二步在本地终端执行命令核对现有keystore内的密钥指纹：

      keytool -list -v -keystore 你的本地keystore文件路径.jks
      

      逐一核对返回的所有密钥条目的指纹，找到和页面要求指纹完全一致的条目，后续签名时直接选用这个条目即可。
    • 如果本地所有keystore都找不到匹配指纹，说明你升级操作时本地生成过新的上传密钥但未留存，直接在Play Console的上传密钥板块申请重置上传密钥，按页面提示提交你持有的旧keystore的所有权证明，审核通过后用新生成的上传密钥签名即可。
  • 若你未开启Google Play应用签名，是自行本地操作的密钥升级
    这种场景下Play后台要求的签名指纹，就是你升级操作后第一次成功提交版本时所用密钥的指纹。
    • 不要做单独导入公钥证书的无效操作，如果你已经生成了符合强度要求的新密钥（带私钥），需要用密钥导入命令把带私钥的完整密钥条目导入到现有keystore，参考命令：

      keytool -importkeystore -srckeystore 新密钥的存储文件路径 -destkeystore 你原有keystore.jks路径 -srcstoretype 新密钥的存储格式（通常为pkcs12）
      

    • 导入完成后重新执行keytool -list命令核对指纹，确认条目指纹和报错提示的要求指纹完全一致后，再用该条目给AAB签名提交即可。

注意：如果用完全无关的新证书创建keystore，仅能用于包名全新的应用提交，无法作为现有应用的更新签名使用。

内容的提问来源于stack exchange，提问作者Felipe