Android N及更高版本是否忽略APK v1签名？保留v1有安全风险吗

问题1：Android N及更高版本系统是否会忽略同时搭载v1/v2/v3签名的APK的v1签名？ #

Android 7.0（API Level 24，即Android N）及更高版本系统安装APK时，会优先校验v2、v3签名：

• 只要v2或v3签名合法有效，系统不会再校验v1签名，此时v1签名处于被忽略的状态
• 仅当v2、v3签名全部校验失败时，系统才会回退到v1签名校验逻辑

问题2：同时存在三种签名的前提下，APK保留v1签名是否存在安全风险？ #

对Android N及更高版本的设备而言，保留v1签名不会带来额外安全风险：高版本系统完全以v2/v3的校验结果为准，即便v1签名被篡改伪造，只要v2/v3签名合法，篡改行为就会被系统拦截。
仅存在两类需要注意的相关情况：

• 保留v1签名的核心作用是兼容Android 6.0及更低版本的设备，这类旧系统仅支持v1签名校验，删除v1签名会导致APK无法在旧设备上安装
• 若APK被恶意篡改且攻击者成功伪造了v1签名，但没有破坏v2/v3签名区块，这种篡改后的APK仅可能在Android 6.0及更低版本的设备上被成功安装，不会影响高版本系统的安全性

内容的提问来源于stack exchange，提问作者muneeba ashfaq