java - 有没有办法验证apk文件是否是从给定的源代码生成的？

Question

我是政府组织管理团队的成员，客户提交他们的应用程序及其源代码以供审批流程。我正在寻找一种解决方案来验证给定的 apk 文件是否是从给定的源代码生成的。此应用程序在 Google Play 之外分发，因此我们希望确保客户端仅分发经管理团队批准的应用程序。

请提出一种方法。

Answer 1

您已经收到源代码，因此最简单的下一步是获取创建 APK 所需的一切，并根据供应商提供的源代码自行完成此操作。

在我看来，反编译 APK 中的类并将其与给定的源进行比较是错误的方式。首先，您可能希望完全防止应用程序“在那里”时发生这种情况，因此 APK 可能包含混淆的类，而且在编译器进行一些优化后，反编译的源代码可能看起来完全不同。我并不是唯一持这种观点的人。查看有关投票计算机的讨论以及验证计算机是否未经更改并使用供应商为审计提供的源运行的困难等。