java - 发布/调试 APK 上是否提供签名配置信息

Question

我未能在 Google 上找到答案，并且我担心我的 keyPassword、storePassword 以及 build.gradle(Module:app) 上清晰可见的其他信息。

我已浏览以下文档链接，但不相信:

https://developer.android.com/studio/publish/app-signing.html

它指出:

Because the debug certificate is created by the build tools and is insecure by design, most app stores (including the Google Play Store) will not accept an APK signed with a debug certificate for publishing.

这是否意味着任何找到我的调试应用程序(直接从 Android Studio 安装)的人都能够找到我的签名信息，例如 keyPassword 和 storePassword？

我很感激对此事的任何想法。

Answer 1

不，keyPassword 和 storePassword 不包含在最终的构建 Artifact 中。

它们属于构建脚本，不属于应用程序源代码的一部分。

调试证书在设计上是不安全的，因为它是自动生成的。如果您包含自己的签名配置(用于发布版本)并在 Debug模式下构建应用程序，则构建过程甚至不会使用自定义发布签名配置。

这可能有助于理解构建代码和源代码之间的区别:What is Gradle in Android Studio?

TLDR:不， key 和存储密码永远不会出现在最终包中。