Android使用RSA签名报Incompatible purpose错误如何解决？

你遇到的Incompatible purpose错误本质是用于签名的RSA私钥，在AndroidKeyStore中注册的用途不包含签名权限，核心有两个常见触发原因：

1. 本地已经存在别名为rsa的旧密钥，旧密钥生成时未配置PURPOSE_SIGN权限，AndroidKeyStore不会自动覆盖已存在的同名密钥，就算修改了生成代码，读取到的还是旧密钥的参数
2. 同一个RSA密钥同时配置加密解密、签名验签用途时，部分Android系统版本会出现用途校验冲突，这是AndroidKeyStore的已知兼容问题

解决步骤 #

• 第一步：先清空旧的同名密钥，可以在生成新密钥前先执行删除逻辑，或者直接卸载App清除本地KeyStore数据
  删除旧密钥的参考代码：

val keyStore = KeyStore.getInstance("AndroidKeyStore")
keyStore.load(null)
if (keyStore.containsAlias("rsa")) {
    keyStore.deleteEntry("rsa")
}

• 第二步（推荐）：拆分加密、签名的密钥对，不要复用同一组RSA密钥，这也是密码学的安全最佳实践，避免不同用途的密钥权限互相影响
  拆分后的密钥生成参考代码：

// 生成加密解密用的RSA密钥
fun generateEncryptKeyPair(): KeyPair? {
    val kpg = KeyPairGenerator.getInstance(
        KeyProperties.KEY_ALGORITHM_RSA,
        "AndroidKeyStore"
    )
    val parameterSpec = KeyGenParameterSpec.Builder(
        "rsa_enc",
        KeyProperties.PURPOSE_ENCRYPT or KeyProperties.PURPOSE_DECRYPT or KeyProperties.PURPOSE_WRAP_KEY
    ).apply {
        setEncryptionPaddings(KeyProperties.ENCRYPTION_PADDING_RSA_PKCS1)
        setDigests(KeyProperties.DIGEST_SHA256, KeyProperties.DIGEST_SHA512)
    }.build()
    kpg.initialize(parameterSpec)
    return kpg.generateKeyPair()
}

// 生成签名验签用的RSA密钥
fun generateSignKeyPair(): KeyPair? {
    val kpg = KeyPairGenerator.getInstance(
        KeyProperties.KEY_ALGORITHM_RSA,
        "AndroidKeyStore"
    )
    val parameterSpec = KeyGenParameterSpec.Builder(
        "rsa_sign",
        KeyProperties.PURPOSE_SIGN or KeyProperties.PURPOSE_VERIFY
    ).apply {
        setSignaturePaddings(KeyProperties.SIGNATURE_PADDING_RSA_PKCS1)
        setDigests(KeyProperties.DIGEST_SHA256, KeyProperties.DIGEST_SHA512)
    }.build()
    kpg.initialize(parameterSpec)
    return kpg.generateKeyPair()
}

• 第三步：签名时使用专门的签名密钥对的私钥，原有的签名逻辑不需要修改，只要传入generateSignKeyPair()返回的私钥即可。

内容的提问来源于stack exchange，提问作者Gabriel Tunaru