如何利用PackageManager签名机制防范Android应用遭未授权修改或APK patching？

阿华AIGC实验室

2026-4-21

嘿，这个问题戳中了Android应用安全的核心痛点——APK篡改/未授权修改确实是开发者绕不开的麻烦，而PackageManager绝对是你可以依赖的核心工具之一，咱们一步步拆解怎么用它来防护，以及拿到签名后该做什么。

首先得明确：PackageManager的核心作用是帮你获取当前安装APK的数字签名，而数字签名是验证应用完整性的关键——任何被篡改、重打包的APK，都不可能拥有你原始的开发者签名，只要验证签名不匹配，就能直接判定应用被动手脚了。

第一步：预先获取应用的合法签名哈希值

你得先拿到自己发布版本的签名信息，然后把它的哈希值（比如SHA-256）硬编码到应用里（千万别直接存原始签名，存哈希更安全）。获取方式很简单：

用命令行从你的签名文件（.keystore或.jks）提取：
```
keytool -list -v -keystore your_keystore.jks -alias your_alias
```
找到SHA256那一行，把字符串里的冒号去掉，比如得到A1B2C3D4E5F6A7B8C9D0E1F2A3B4C5D6E7F8A9B0C1D2E3F4A5B6C7D8E9F0A1B2，把这个值存好。

第二步：在应用运行时用PackageManager验证签名

在应用启动的关键节点（比如Application的onCreate方法，或者核心功能入口），调用PackageManager获取当前安装APK的签名，再和你预先存的哈希值对比：

import android.content.pm.PackageInfo;
import android.content.pm.PackageManager;
import android.content.pm.Signature;
import java.security.MessageDigest;
import java.security.NoSuchAlgorithmException;

public class SignatureChecker {
    public static boolean isAppTampered(PackageManager packageManager, String packageName, String validSignatureHash) {
        try {
            PackageInfo packageInfo = packageManager.getPackageInfo(packageName, PackageManager.GET_SIGNATURES);
            Signature[] signatures = packageInfo.signatures;
            
            // 一般应用只有一个签名，取第一个即可
            Signature signature = signatures[0];
            MessageDigest md = MessageDigest.getInstance("SHA-256");
            byte[] signatureBytes = signature.toByteArray();
            byte[] digest = md.digest(signatureBytes);
            
            // 把字节数组转成无冒号的十六进制字符串
            StringBuilder sb = new StringBuilder();
            for (byte b : digest) {
                sb.append(String.format("%02x", b));
            }
            String currentSignatureHash = sb.toString();
            
            // 对比哈希值，不相等则说明被篡改
            return !currentSignatureHash.equalsIgnoreCase(validSignatureHash);
        } catch (PackageManager.NameNotFoundException | NoSuchAlgorithmException e) {
            e.printStackTrace();
            return true; // 异常情况下默认判定为篡改，避免绕过
        }
    }
}

然后在你的Application类里调用验证逻辑：

public class MyApp extends Application {
    // 替换成你预先存的合法签名哈希值
    private static final String VALID_SIGNATURE_HASH = "A1B2C3D4E5F6A7B8C9D0E1F2A3B4C5D6E7F8A9B0C1D2E3F4A5B6C7D8E9F0A1B2";

    @Override
    public void onCreate() {
        super.onCreate();
        boolean isTampered = SignatureChecker.isAppTampered(getPackageManager(), getPackageName(), VALID_SIGNATURE_HASH);
        if (isTampered) {
            // 处理篡改情况：弹出警告、强制退出、禁用核心功能
            Toast.makeText(this, "应用已被篡改，无法正常使用", Toast.LENGTH_LONG).show();
            finishAffinity(); // 关闭所有页面退出应用
        }
    }
}