如何回答 keytool 提出的 Java 密钥库问题？

Question

当使用 Java 的 keytool 程序创建密钥库文件时，它会询问一系列有关与密钥库关联的身份的问题。其中包括一些我想知道它们是否是必需的、它们的用途（如果有的话）、人们将如何看到/使用它们，以及它们应该从什么上下文中得到回答。例如：

“你的名字和姓氏是什么？” 所以我想知道，他们指的是谁？如果我们的团队有一位 IT 技术人员为我们运行这个程序，他应该留下自己的名字吗？应该是我们开发团队或部门的经理吗？如果我们在一家公司工作，而留下名字的人离开了公司，我们该怎么办？

“你们的组织单位叫什么名字？” 如果没有怎么办？

“你们的组织叫什么名字？” 如果我只是一个制作程序的人怎么办？

“这个单位的两个字母的国家代码是什么？” 什么单位？这有什么作用呢？我可以将其留空吗？

此外，根据指定人员提供此信息有哪些相关协议、权利和责任？或者这些只是想在我们想要关联这些信息时提供帮助，如果它们看起来不相关或不想要，我们可以选择将其中任何一个留空？

如果它是 Android Play 商店的移动应用程序，答案是否会有所不同？

Answer 1

这些问题的目的是向使用该密钥库文件的人提供有关您/您的组织的信息；例如 Android Play 商店注册人员。

如何回答 keytool 提出的 Java 密钥库问题？

一般来说，您应该如实回答，提供达到目的所需的信息。

就您的情况而言，我认为您正在签署申请。（如果我错了，请纠正我......）在这种情况下，证书的目的是（根据此）：

Android 使用此证书来识别应用程序的作者...

因此，您的答案应该足以让 Android Play 商店管理员和 Android 最终用户足够明确地识别应用程序的作者，从而决定是否信任该应用程序。

显然，在不同的情况下，作者可能被识别为个人、组织单位或组织。这将由您（即发布软件的人）来做出决定。如果 Android 文档中有一些指导，我找不到它。（如果您能从 Android / Google 找到任何关于此的“官方”内容，请在下面添加评论。）

此外，根据指定人员提供此信息有哪些相关协议、权利和责任？

据我所知，没有。但是，上传您的应用程序肯定会给您带来某些义务。

或者这些只是想在我们想要关联这些信息时提供帮助，如果它们看起来不相关或不想要，我们可以选择将其中任何一个留空？

不清楚。但是，遗漏信息可能会导致人们认为您的证书不值得信任。同样，自签名证书也容易受到怀疑¹。

^{1 - 例如，没有什么可以阻止您编写 Android 应用程序来访问用户的银行帐户。您可以在该应用程序上签名，表明它是由银行发布的。但是，如果证书没有返回到受信任的根 CA 的信任链，那么用户应该怀疑您的应用程序。}