java - AndroidKeystore 应用程序是特定的还是设备特定的？

Question

我只是想问一下，用于存储 key 对的 AndroidKeystore API 是特定于设备或特定于应用程序的。我想问如果两个应用程序使用 AndroidKeyStore 来存储其 key 对，那么这两个应用程序的信息将进入同一个 keystore ，或者它们将具有不同的 keystore 容器。

谢谢。

Answer 1

keystore 是特定于应用程序的。如果您发布两个应用程序，则可以选择相同的 keystore ，也可以选择不同的 keystore 。每个都有不同的优点和缺点。其中一些内容在[此处的签名注意事项部分]中进行了解释。( https://developer.android.com/studio/publish/app-signing.html#considerations )

如果您为应用程序选择相同的 keystore ，则可以实现多种功能，例如通过权限共享代码或数据。这仅适用于使用相同 key 签名的应用程序。

另一方面，假设您将来想要将您的应用程序出售给另一家公司。这种情况可能会发生在小型应用程序开发人员身上，因为另一家大型游戏或应用程序开发公司想要收购他们的应用程序(并且他们可以赚很多钱)。如果您使用相同的 key 对所有应用程序进行签名，则非常困难，因为大公司需要能够对他们购买的应用程序进行签名，因此您必须向他们提供您的签名 key 。但这使得他们有可能生成您所有应用程序的版本，这不是良好的安全实践。

如果是我，我会:

• 为每个应用选择不同的签名 key
• 让 Google Play signing 完成我的应用程序签名，那么如果您丢失或泄露您的 key (或 keystore 密码)，或者恼怒的员工利用您的信任滥用您的 key ，则无需担心。