Android开发:Keytool,创建一个密钥库？

Question

我正在尝试为谷歌市场准备我的应用程序,但它证明比预期更具挑战性.我似乎无法掌握签署应用程序的整个概念,但更具体地说,我的问题是我已经为eclipse安装了keytool插件,但是当我想创建一个证书时,它要求我选择一个密钥库(输入文件名)和密钥库密码),我不明白我应该输入什么文件,因为它实际上要我通过浏览选择文件,如何继续导出文件,谷歌遗憾地没有拿出来非常好或明确的答案

Answer 1

您需要为新密钥库文件提供位置和文件名,以备您创建新密钥库文件时使用.或者,您可以选择"使用现有密钥库"并浏览到现有密钥库文件位置.

编辑:我想我会提供详尽的答案.希望这些信息有用.

什么是签名以及为什么需要签名.

android使用的apk签名机制是应用于字节码和应用程​​序资源的数字签名的示例用法,以确保:

• 完整性(下载后不会篡改您的应用)
• 真实性 - 您是将应用程序发布到GooglePlay的人

为了更好地理解数字签名,我建议您浏览一下公钥加密.

这是如何运作的.

Android使用与标准Java应用程序签名/验证相同的标准JDK工具:

• jarsigner - 使用提供的数据进行签名private key,并使用证书验证数据(即绑定到您身份的公钥)
• keytool - 管理您的私钥和证书keystore.这些钥匙是必需的jarsigner.

jarsigner使用IDE 手动签署应用程序或导出已签名的应用程序(无论如何使用keytool和引导签名应用程序jarsigner)后,您可以找到已签名的META-INF.apk存档目录中的签名相关文件:

• CERT.SF - 包含SHA应用程序组件和的哈希值的文件
• CERT.RSA(或.DSA) - 上述文件的数字签名+公共证书,以验证此签名.你可以在这里阅读有关唱歌如何运作的更多细节.

如何正确签署申请以便发布.

本文非常好地描述了您需要遵循的步骤.

注意:在继续签名之前,请考虑重要的预发布步骤:删除日志/关键字符串文字,使用proguard进行模糊处理等.

下面我将提供一些关键点:

生成您的私钥并将其放在java中keystore.

keystore如果您没有,可能需要先创建.在创建时,keystore您需要创建Keystore password,用于确保keystore数据的完整性(即,您将被警告您的密钥库在某人之后被篡改 - 而不是您 - 已向其添加新证书).实际上,如果您保证keystore文件安全,这个密码并不是非常关键.如果有一天忘记它,你可以逃脱.

生成时private key,还会要求您创建PrivateKey password用于加密密钥库内私钥的内容.这是您需要保留的非常重要的密码,因为它可以确保

• 你的私钥真的很私密.最重要的是
• 如果没有此密码,您将无法使用私钥来签署和发布应用程序的未来更新;
  

在Eclipse中生成新私钥时,还会要求您提供用于创建自签名证书的身份信息.

作为下一步,您将使用private key指定keystore文件对应用程序进行签名,并.apk使用上面解释的与签名相关的文件更新您的文档.

一些重要的术语:

密钥库只是一个二进制文件,保留特定格式的私钥/证书列表.它可以使用KeyStore.java提供的API以编程方式访问.您的密钥库可以包含多个私钥条目,每个条目都由其标识alias.
在大多数情况下,您keystore将拥有单个私钥,其中包含与此私钥匹配的单个自签名证书.

密钥库密码用于密钥库内容的完整性检查.
如果您丢失了此密码,但您仍然拥有存储在其中的私钥的密码,则可以通过运行以下cmd来"克隆"您的密钥库并提供新的密钥库密码:

密钥工具-importkeystore -srckeystore路径/到/密钥库/与/忘记/ PW -destkeystore路径/要/我的/新/密钥库

提供新密码,并将旧密钥库密码留空 - 您只会收到警告.然后,您可以使用新的密钥库并删除旧的密钥库.
还有其他方法可以在不使用密钥库密码的情况下检索私钥.

私钥密码 - 保护(通过加密)private key内部keystore.这非常重要,因为它允许您访问您的私钥,以便为您的应用程序签署更新.通常很难恢复它.

自签名证书 - 非常简单的证书将您的身份(姓名/组织/电子邮件)绑定到您的公钥.此证书.apk在签名操作期间添加到文件中,并将在用户的设备上用于.apk在安装之前进行验证.