APK代码篡改检测：除PackageManager外，能否通过META-INF目录验证签名完整性？

嘿，作为刚入门APK开发的新手，能关注到签名验证的细节真的超棒！签名确实是保障APP安全的核心环节，你提到的META-INF目录本身就是签名流程的核心产物，完全可以用来做篡改检测和签名验证，下面给你详细拆解几种可行的方法：

1. 离线手动验证（适合调试或安全审计） #

如果你只是想离线检查一个APK是否被篡改，可以直接解压APK查看META-INF目录下的核心文件：

• MANIFEST.MF：记录了APK中所有文件的SHA哈希值，签名时生成这个文件来确保每个文件的完整性。
• CERT.SF：对MANIFEST.MF文件本身做哈希和签名，防止MANIFEST.MF被恶意篡改。
• CERT.RSA：包含签名者的公钥证书，用来验证CERT.SF的签名有效性。

具体操作可以用JDK自带的jarsigner工具：

jarsigner -verify -verbose -certs your_app.apk

如果输出显示jar verified，说明签名有效且文件未被篡改；如果出现invalid entry signature这类提示，就意味着APK已经被修改过了。

2. APP运行时自校验（代码实现） #

如果你想在APP运行时自己做签名和篡改校验，可以通过读取自身APK的META-INF文件来实现，大致步骤如下：

步骤1：获取当前APK的路径 #

String apkPath = getPackageCodePath();

步骤2：解析META-INF中的核心文件 #

用JarFile类打开APK，读取签名相关文件：

JarFile jarFile = new JarFile(apkPath);
Manifest manifest = jarFile.getManifest();
// 获取签名证书
Certificate[] certs = jarFile.getJarEntry("META-INF/CERT.SF").getCertificates();

步骤3：验证完整性与签名有效性 #

• 遍历APK内所有文件，计算每个文件的SHA哈希值，和MANIFEST.MF中对应的条目对比——如果不一致，说明文件被篡改。
• 用CERT.RSA中的公钥验证CERT.SF的签名，确保MANIFEST.MF本身没有被修改。

⚠️ 注意：这种方法需要处理很多细节，比如匹配签名时用的哈希算法（SHA-1/SHA-256等）、证书链验证，而且如果APP被恶意篡改后重新签名，会检测到签名不一致。

3. 实用建议 #

• 结合PackageManager使用：你之前了解的PackageManager方法可以获取系统校验后的签名信息，把两种方法结合起来，能大幅提高验证可靠性：

  PackageInfo packageInfo = getPackageManager().getPackageInfo(getPackageName(), PackageManager.GET_SIGNATURES);
  Signature[] signatures = packageInfo.signatures;
  // 对比签名指纹是否和你预先保存的一致
  

• 防止校验逻辑被绕过：如果做APP自校验，一定要做好代码混淆和反逆向保护，否则攻击者可能直接跳过你的校验逻辑。
• META-INF的局限性：如果攻击者替换META-INF文件并重新签名，单纯校验META-INF无法识别，所以最终还是要对比签名指纹是否和你官方的一致。

总结来说，通过META-INF目录确实能实现篡改检测和签名验证，不管是离线工具验证还是代码自校验都可行，实际应用中建议多方法结合，确保APP的安全性。

内容的提问来源于stack exchange，提问作者Akash Gorai