Android签名应用USE_ICC_AUTH_WITH_DEVICE_IDENTIFIER权限访问失败

你对signature级别权限的授予逻辑存在本质误解：

• Android的signature保护级权限，从来不是「应用用自有密钥签名就能获取」，规则要求应用的签名证书，必须和声明这个权限的系统组件的签名证书完全一致，系统才会自动完成授权。
• 你测试用的Google Pixel 5A运行的是官方量产零售版系统，声明USE_ICC_AUTH_WITH_DEVICE_IDENTIFIER权限的是系统内置电话服务组件，用的是Google内部保管的平台私钥签名，你自行生成的android.jks签名和系统平台签名完全不匹配，哪怕你在Manifest里正确声明了权限，系统也不会授予，调用接口抛出安全异常是必然结果。
• 补充一个基础规则：从Android 10开始，普通第三方应用已经被系统层面禁止获取IMEI、硬件真实MAC这类不可重置的设备标识符，这是强制隐私限制，不存在普通应用靠签名配置绕开的可能。另外你当前的构建配置里debug包开启了debuggable true，就算你真的拿到了平台签名，可调试状态的应用也会被限制访问这类敏感标识符。

根据实际业务落地场景选择适配方案：

• 若你开发的是面向普通消费用户、需要上架公开应用商店的应用：
  • 直接放弃获取IMEI、真实硬件MAC的方案，这类接口对普通第三方应用已经永久封禁，强行适配不仅会在高版本系统上100%崩溃，也过不了各大应用商店的隐私合规审核。
  • 设备唯一标识需求可使用替代方案：应用首次启动时自行生成UUID存储在应用私有目录/SharedPreferences中，或者使用系统提供的ANDROID_ID（注意恢复出厂设置、刷机后该值会重置），广告相关场景适配系统广告ID即可。
  • 不需要尝试获取MAC地址：Android 6.0及以上版本，普通应用调用接口拿到的都是系统随机生成的虚拟MAC，和硬件真实值不绑定，没有唯一标识作用。
• 若你开发的是企业定制设备、自有ROM的内部项目：
  • 方案1：将应用预置为系统特权应用，在系统/system/etc/permissions/目录下添加权限白名单配置，给目标应用放开对应权限即可正常调用接口。
  • 方案2：直接使用对应ROM的平台签名密钥给APK重签名，满足signature权限的校验要求，即可正常获取对应权限。
• 若你开发的是企业MDM/设备管控类应用：
  可以通过ADB部署、企业零触碰开户等流程将应用设置为设备所有者（Device Owner），Android系统会对设备所有者应用开放部分设备标识符的获取权限，不需要平台签名。

内容的提问来源于stack exchange，提问作者Akhil Surapuram