如何在Dart/Flutter中实现APK文件重签名

你不需要手动移植Java版ZipSigner的代码，ZipSigner的核心APK签名能力本质是离线Jar（V1）签名，基于公开的签名规范实现，Dart/Flutter技术栈下有成熟的落地路径，直接按下面的方案选择即可。

纯Dart实现方案（无原生依赖，全平台兼容） #

这个方案和ZipSigner的运行逻辑完全一致，不需要依赖安卓系统组件，离线即可运行：

• 前置处理：修改完APK内容后，先删除APK（本质是zip压缩包）内META-INF/目录下所有后缀为.SF、.RSA、.DSA、.MF的旧签名文件，避免重签名冲突。
• 密钥处理：可以直接内置ZipSigner默认使用的通用testkey密钥对，也可以支持用户导入自定义JKS/PKCS12格式密钥，用纯Dart加密库pointycastle即可完成密钥读取、加解密操作，不需要原生支持。
• 签名执行：遍历APK内所有文件，逐个计算摘要写入MANIFEST.MF文件，再对MF文件计算摘要生成.SF签名描述文件，最后用私钥对SF文件签名生成.RSA签名块，把三个新生成的文件写入APK的META-INF目录就完成签名。
• 效率优化：如果不想从零写签名逻辑，可以直接用封装好的纯Dart签名包，已经把ZipSigner的核心兼容逻辑（旧版安卓适配、异常zip结构处理）重写完成，直接调用签名方法传入APK路径、密钥参数即可，输出的签名APK和ZipSigner签名结果完全兼容，可在所有安卓版本正常安装。

基础的旧签名清理代码参考：

import 'package:archive/archive.dart';

Future<File> removeOldSignature(File sourceApk) async {
  final apkBytes = await sourceApk.readAsBytes();
  final zipArchive = ZipDecoder().decodeBytes(apkBytes);
  // 过滤所有旧签名文件
  final validFiles = zipArchive.files.where((file) {
    final lowerPath = file.name.toLowerCase();
    return !(lowerPath.startsWith('meta-inf/') &&
      (lowerPath.endsWith('.sf') || lowerPath.endsWith('.rsa') ||
       lowerPath.endsWith('.dsa') || lowerPath.endsWith('.mf')));
  }).toList();
  // 按4字节对齐重新打包，满足zipalign要求
  final newArchive = Archive();
  newArchive.addAll(validFiles);
  final signedBytes = ZipEncoder().encode(
    newArchive,
    level: ZipCompression.store,
    alignment: 4,
  );
  return File(sourceApk.path.replaceFirst('.apk', '_signed.apk'))
    ..writeAsBytesSync(signedBytes);
}

原生通道实现方案（性能更强，支持高版本签名） #

如果需要兼容V2/V3签名（新版ZipSigner的增强能力），对签名速度要求更高，可以用Flutter平台通道实现：

• 在Flutter项目的Android原生模块中，内置便携版apksigner库，不要依赖系统自带的签名组件（很多定制安卓系统会阉割该组件，导致签名失败）。
• 原生端接收Flutter层传入的APK路径、密钥信息，调用内置签名库完成V1/V2/V3签名后，把签名完成的APK路径回传给Flutter层即可。
• 这个方案的签名速度比纯Dart实现快30%左右，对大体积APK的兼容性更好。

避坑说明 #

• 不要逐行移植Java版ZipSigner的代码，该项目90%的代码是处理早年安卓系统的兼容逻辑、异常zip结构容错，核心签名逻辑完全遵循公开的Jar签名规范，用通用加密库即可实现。
• 打包重签APK时必须做4字节zipalign对齐，否则会出现APK解析失败、安装报错的问题。
• 如果需要和ZipSigner的默认签名输出完全一致，直接内置和它相同的testkey密钥对即可，签名后的APK签名信息和ZipSigner输出完全匹配。

内容的提问来源于stack exchange，提问作者Netsu