Android 6-8部分设备出现android.security.KeyStoreException: Unknown error求助

我之前在适配Android 6到8的设备时，也碰到过一模一样的android.security.KeyStoreException: Unknown error！结合你给出的密钥生成代码，大概率是早期Android KeyStore的参数兼容性问题，给你整理了亲测有效的排查和解决思路：

一、核心问题分析 #

Android 6（API23）到Android 8（API26）的系统KeyStore对RSA密钥生成的参数要求比高版本更严格，一些在高版本默认兼容的参数，在这些旧系统里会触发“未知错误”。

二、具体修复方案 #

1. 必须指定摘要算法 #

你的代码里只设置了加密填充方式，但早期KeyStore要求必须显式指定摘要算法，哪怕你用的是RSA PKCS1填充。建议添加多种摘要算法来兼容不同设备：

.setDigests(KeyProperties.DIGEST_SHA256, KeyProperties.DIGEST_SHA1)

2. 明确证书有效期 #

部分定制ROM的Android 6设备会因为缺少证书有效期参数报错，显式设置有效期可以规避这个问题：

.setCertificateNotBefore(new Date())
.setCertificateNotAfter(new Date(System.currentTimeMillis() + 365 * 24 * 60 * 60 * 1000)) // 有效期1年

3. 密钥大小的兼容测试 #

虽然2048位是RSA标准密钥大小，但少数Android 6的定制ROM对其支持有问题。你可以先临时降级到1024位测试（仅用于排查），如果问题解决，再考虑保留2048位并添加异常重试逻辑。

三、修改后的完整代码 #

final KeyPairGenerator keyGenerator = KeyPairGenerator.getInstance(KeyProperties.KEY_ALGORITHM_RSA, ANDROID_KEY_STORE);
try {
    KeyGenParameterSpec spec = new KeyGenParameterSpec.Builder(ALIAS, 
            KeyProperties.PURPOSE_ENCRYPT | KeyProperties.PURPOSE_DECRYPT)
            .setKeySize(2048)
            .setEncryptionPaddings(KeyProperties.ENCRYPTION_PADDING_RSA_PKCS1)
            // 新增摘要算法，兼容Android 6-7.1
            .setDigests(KeyProperties.DIGEST_SHA256, KeyProperties.DIGEST_SHA1)
            // 明确证书有效期，避免定制ROM报错
            .setCertificateNotBefore(new Date())
            .setCertificateNotAfter(new Date(System.currentTimeMillis() + 365 * 24 * 60 * 60 * 1000))
            .build();
    keyGenerator.initialize(spec);
    KeyPair keyPair = keyGenerator.generateKeyPair();
} catch (KeyStoreException | NoSuchAlgorithmException | InvalidAlgorithmParameterException e) {
    // 针对Android 6-8的异常做降级处理
    if (Build.VERSION.SDK_INT >= Build.VERSION_CODES.M && Build.VERSION.SDK_INT <= Build.VERSION_CODES.O_MR1) {
        // 可选：尝试改用1024位密钥，或切换到非KeyStore的RSA生成方式
        e.printStackTrace();
    }
}

四、额外排查建议 #

• 有些设备的KeyStore可能因为硬件异常或系统损坏导致报错，可以让用户在设置->安全->凭据存储->清除凭据后重试；
• 如果上述修改仍无效，可以在捕获异常时，切换到不依赖系统KeyStore的RSA密钥生成（即不指定ANDROID_KEY_STORE参数），虽然安全性稍低，但能保证功能正常运行。

内容的提问来源于stack exchange，提问作者AndyB