厂商keystore签名APK的安全风险与Google Play适配咨询

厂商要求使用其提供的.keystore文件为APK签名的设计完全不符合Android平台安全规范，存在明确高危风险，且天然无法兼容Google Play应用签名机制，不应该接受该方案。

• 应用身份控制权完全丢失：Android系统将应用签名证书作为应用身份的唯一可信凭证，只要持有对应签名密钥，就可以发布同包名的应用直接覆盖用户设备上已安装的正版应用，系统不会弹出风险提示。由于厂商持有该密钥的完整控制权，一旦厂商密钥泄露、或者厂商主动发布恶意版本，所有安装了你方应用的用户都会直接受影响，责任由你方全部承担。
• 第三方服务权限泄露：包括Google账号登录、应用内支付、Firebase云服务、多数第三方SDK在内的服务，都会将应用签名作为身份校验的核心依据，持有签名密钥的主体可以伪造你的应用身份，窃取用户授权、交易凭证、云端数据等敏感信息。
• 分发链路完全不可用：你遇到的Google Play签名不兼容问题是该方案的先天缺陷——Google Play要求开发者使用自有上传密钥签名提交包体，最终下发给用户的APK会由Google重新签名，最终用户侧安装的APK签名和厂商提供的.keystore完全不匹配，硬件校验逻辑会直接判定为非法应用，功能完全失效。
• 合规性不达标：主流应用市场、数据合规规范均要求应用签名密钥由应用运营主体自主保管、严格保密，使用第三方提供的密钥签名属于明确的合规漏洞，无法过审。

• 优先要求厂商修正校验逻辑：正确的外设对接校验逻辑应该是硬件侧将你方应用的签名公钥加入可信白名单，而非强制要求应用使用厂商指定的密钥签名。你只需要导出两类公钥证书提供给厂商即可：一是本地debug签名、自有发布签名的证书公钥，二是Google Play管理中心内Google托管的应用签名证书公钥，厂商将这些公钥摘要写入硬件的可信列表后，不管是本地测试包还是Google Play正式下发的包，都可以正常通过硬件校验，全程不需要你方泄露自有签名密钥，也不需要使用厂商提供的密钥。
• 临时测试方案：如果厂商暂时无法完成逻辑迭代，仅可在内部debug测试阶段使用厂商提供的.keystore做功能验证，严禁使用该密钥签名任何面向外部用户分发的版本。
• 兜底隔离方案：如果厂商长期不修正逻辑，可以采用拆分应用的隔离方案：将硬件对接相关逻辑独立为一个体量极小的辅助应用，该辅助应用使用厂商提供的密钥签名，你的主应用仍然使用自有密钥签名走正常Google Play上架流程，两个应用之间通过Android自定义权限做跨进程通信，主应用调用辅助应用的能力访问硬件，既绕过签名冲突问题，也不会丢失主应用的签名控制权。

补充：Android官方提供的外设对接、硬件可信访问相关API，全部采用应用公钥白名单的校验逻辑，从未要求应用使用第三方持有密钥签名，厂商当前的实现属于违背平台设计规范的错误方案。

内容的提问来源于stack exchange，提问作者Frank van Luijn