Android 8设备调用KeyGenerator.generateKey()方法引发应用崩溃问题求助

该问题是Android 8.0/8.1（API 26、27）系统的Keystore服务固有缺陷导致，具体触发原因如下：

• Android 8.x对KeyGenParameterSpec的参数校验逻辑存在兼容性bug，高版本系统可正常生效的参数组合，在该版本会被Keystore服务直接拒绝
• 若生成密钥时配置了密钥有效期限制，Android 8.x的Keystore时间校验逻辑存在异常，哪怕有效期设置为未来时间也有概率触发操作失败
• 若生成密钥时开启了setUserAuthenticationRequired(true)配置，当Android 8.x设备未设置锁屏密码时会直接抛出异常，高版本系统存在自动降级逻辑不会崩溃
• 部分厂商定制的Android 8.x系统对后台进程的Keystore调用权限做了额外限制，后台服务生成密钥时权限不足也会触发该报错

你提供的崩溃堆栈对应Android 8.x源码中AndroidKeyStoreKeyGeneratorSpi.java第321行，正是参数校验不通过后的固定抛出逻辑，和上述成因完全匹配。

1. 做系统版本分支适配，调整Android 8.x的密钥生成参数 #

// 初始化AES密钥生成器示例
KeyGenerator keyGenerator = KeyGenerator.getInstance(KeyProperties.KEY_ALGORITHM_AES, "AndroidKeyStore");
if (Build.VERSION.SDK_INT >= Build.VERSION_CODES.P) {
    // Android 9及以上版本，按原有业务逻辑配置参数
    KeyGenParameterSpec spec = new KeyGenParameterSpec.Builder(
            KEY_ALIAS,
            KeyProperties.PURPOSE_ENCRYPT | KeyProperties.PURPOSE_DECRYPT
        )
        .setBlockModes(KeyProperties.BLOCK_MODE_GCM)
        .setEncryptionPaddings(KeyProperties.ENCRYPTION_PADDING_NONE)
        .setUserAuthenticationRequired(true)
        .setKeyValidityEnd(validityDate)
        .build();
    keyGenerator.init(spec);
} else if (Build.VERSION.SDK_INT == Build.VERSION_CODES.O || Build.VERSION.SDK_INT == Build.VERSION_CODES.O_MR1) {
    // Android 8.x专属配置，移除高危参数
    KeyGenParameterSpec spec = new KeyGenParameterSpec.Builder(
            KEY_ALIAS,
            KeyProperties.PURPOSE_ENCRYPT | KeyProperties.PURPOSE_DECRYPT
        )
        .setBlockModes(KeyProperties.BLOCK_MODE_GCM)
        .setEncryptionPaddings(KeyProperties.ENCRYPTION_PADDING_NONE)
        // 关闭用户认证校验，避免未设锁屏时报错
        .setUserAuthenticationRequired(false)
        // 移除有效期配置，规避时间校验异常
        // .setKeyValidityEnd(validityDate)
        .build();
    keyGenerator.init(spec);
} else {
    // 更低版本按需配置参数即可
    // ...
}
keyGenerator.generateKey();

2. 提前校验设备状态 #

• 生成密钥前先检测Android 8.x设备是否设置了锁屏密码，如需开启用户认证能力，未设置锁屏时不要触发密钥生成逻辑
• 后台服务生成密钥前先确认应用已获得所需的全部运行权限，避免厂商定制系统的权限拦截

3. 异常兜底处理 #

调用generateKey()时主动捕获ProviderException异常，Android 8.x设备触发异常时可降级使用其他加密方案：比如不使用AndroidKeyStore存储密钥，改用加密后的SharedPreferences存储，或调整参数后重试生成。

内容的提问来源于stack exchange，提问作者AnKr