有没有办法检查应用程序签名是否已调试或已发布？

Question

我目前正在开发 RPC 服务供开发人员使用，但想确保我可以区分另一个应用程序的调试密钥及其公钥。有没有办法检查另一个应用程序的密钥并判断它是否是调试密钥而不是已发布的应用程序密钥？

这样做的目的是能够判断他们的应用程序何时处于开发或发布状态，因为我需要能够判断他们是否应该访问我的开发服务器或我的生产服务器。

Answer 1

默认情况下，Eclipse 使用的 androiddebugkey（例如）有一个 notAfter 日期和日期。未来最多 1 年的时间 - Android 市场不接受如此短的值 - 您可以使用它来区分开发人员签名的版本吗？或者..您可以只检查应用程序使用的公钥 - 让他们使用其应用程序的 android.content.pm.Signature 签署 RPC 请求？

PackageInfo pkgInfo = getPackageManager().getPackageInfo(getPackageName(), PackageManager.GET_SIGNATURES);

for (Signature appSignature : pkgInfo.signatures) {
    // javax.security - NOT java.security!
    X509Certificate appCertificate = X509Certificate.getInstance(appSignature.toByteArray());
    // appCertificate.getNotAfter() can give you the date & time the cert expires
    // appCertificate.getPublicKey() can give you the public key you sign the RPC requests with.
    // appCertificate.getSubjectDN() will give you a Principal named "CN=Android Debug,O=Android,C=US" for any debug certificate that hasn't been handcrafted by the developer.
}

Answer 2

static final String DEBUGKEY = 
      " key ";    


public static boolean signedWithDebugKey(Context context, Class<?> cls) 
{
    boolean result = false;
    try {
        PackageInfo pinfo = context.getPackageManager().getPackageInfo("your package name",PackageManager.GET_SIGNATURES);
        Signature sigs[] = pinfo.signatures;

        Log.d(TAG,sigs[0].toCharsString());

        if (DEBUGKEY.equals(sigs[0].toCharsString())) {
            result = true;
            Log.d(TAG,"package has been signed with the debug key");
        } else {
            Log.d(TAG,"package signed with a key other than the debug key");
        }

    } catch (android.content.pm.PackageManager.NameNotFoundException e) {
        return false;
    }

    return result;

} 

第一次使用 debugkey 运行此代码，这将始终返回 false，但您将在 Logcat 中获得编码的密钥。
复制该编码密钥，并替换 DEBUGKEY 的值“ key ”，它将正常工作。