JAR文件：数字签名

Question

如果对JAR文件进行了数字签名，签名是否会成为清单文件的一部分？

Answer 1

几乎。实际上，不是签名的JAR文件，而是其内容。

从技术上讲，将使用适当的哈希函数（例如SHA-1）对JAR存档中要签名的单个文件进行哈希处理。哈希值在清单中报告。然后在目录中添加一个额外的文件（一个*.SF文件）META-INF/；该文件包含每个已签名文件的条目：每个条目都包含清单中相应条目的哈希（因此或多或少是哈希的哈希）。该*.SF还包括含有清单中的主标题的哈希值的条目。最后，*.SF文件本身会被签名，从而产生一个*.RSA或*.DSA文件（其本身在META-INF/目录中），该文件遵循CMS格式（以前称为“ PKCS＃7”）。CMS依赖于X.509证书的整个设备。

因此，这是间接的。必须理解的是，只有JAR中的单个文件被签名；在给定的JAR文件中，有符号部分和无符号部分可能混合在一起。