在13年的時(shí)候做過(guò)一個(gè)項(xiàng)目，公司要求自己生產(chǎn)的AndroidPad只允許安裝自己應(yīng)用市場(chǎng)認(rèn)證過(guò)的應(yīng)用。
剛接到項(xiàng)目需求的時(shí)候就想到了驗(yàn)證數(shù)字簽名的方案按傅，
然后我就在后端上傳應(yīng)用的時(shí)候把Apk給重簽名了含末，并且在PackageManager中做了簽名校驗(yàn)，
然后我就交工了府适，
然后Q&A測(cè)試的時(shí)候說(shuō)京東APP打開(kāi)的時(shí)候提示APP是盜版的羔飞，
然后產(chǎn)品經(jīng)理就找我了,
然后我就又開(kāi)工了……
然后...
好啰嗦啊……好啰嗦
言歸正傳，前面的實(shí)驗(yàn)已經(jīng)說(shuō)明了問(wèn)題檐春，校驗(yàn)數(shù)字簽名是不可行的逻淌，當(dāng)然不可行的原因不只有這一個(gè)（通過(guò)數(shù)字簽名共享進(jìn)程，通過(guò)數(shù)字簽名覆蓋安裝等都會(huì)有問(wèn)題）喇聊。
在Android 【設(shè)置】->【安全】中一個(gè)【未知來(lái)源】的item恍风。我剛開(kāi)的時(shí)候沒(méi)有閱讀過(guò)PackageInstaller的代碼，以為這個(gè)選項(xiàng)就是用來(lái)驗(yàn)證來(lái)源的誓篱，但是……
內(nèi)置應(yīng)用市場(chǎng)有system權(quán)限朋贬，可以靜默安裝，不走PackageInstaller窜骄，不允許未知來(lái)源指的是不可以從SDCard進(jìn)行安裝锦募，變相符合需求，但是通過(guò)ADB安裝的話是繞開(kāi)PackageInstaller
上面所提到的方案都被否決了邻遏，
這樣糠亩，要實(shí)現(xiàn)產(chǎn)品經(jīng)理給的需求就又了一個(gè)先決條件
不能破壞或者修改APK的數(shù)字簽名（附加文件等會(huì)破壞簽名虐骑，需要重簽）
革命還未成功，同志尚需努力
在分析了PackageParser代碼后赎线，并結(jié)合Apk包結(jié)構(gòu)后做出了新的方案
先來(lái)看看APK的包結(jié)構(gòu)
ZIP中每一個(gè)文件的壓縮都分成如下三個(gè)部分
1.壓縮源文件數(shù)據(jù)
2.壓縮源文件目錄區(qū)
3.壓縮源文件目錄結(jié)束標(biāo)志
也就是說(shuō)zip包內(nèi)的所有分文件的壓縮處理都有上面3個(gè)部分構(gòu)成廷没，有完整的開(kāi)始和結(jié)束標(biāo)志。
因此可以在zip包的末尾追加一些數(shù)據(jù)是不會(huì)影響zip包的完整性及APK解析的垂寥，基本方案就出來(lái)了
方案出來(lái)后怎樣來(lái)保證渠道確實(shí)是自己的呢颠黎？我是這么來(lái)操作的
1.在apk的1/3,1/10,1/15,1/32等地方各取3個(gè)字節(jié)，算一個(gè)HashCode
2.用SHA-1摘要?jiǎng)偟玫降腍ashCode
3.將SHA-1寫入zip末尾（64Byte）
在PackageParser中反向上面步驟
1.從zpk末尾取64Byte數(shù)據(jù)
2.在zip文件中0到（zip長(zhǎng)度-64）區(qū)域中1/3,1/10,1/15,1/32等地方各取3個(gè)字節(jié)滞项，算一個(gè)HashCode
3.用SHA-1摘要HashCode
4.與從文件末尾獲取的64Byte數(shù)據(jù)進(jìn)行比較狭归，相同則繼續(xù)安裝，不同則跳出文判，并返回安裝失敗的代碼（adb中亦可見(jiàn)）
啰嗦一堆过椎，關(guān)鍵就幾句……
TIPS
在小米，聯(lián)想等手機(jī)上戏仓，安裝apk的時(shí)候回彈出一個(gè)確認(rèn)對(duì)話框疚宇，其原理同樣是在PackageParser中進(jìn)行了修改限定，有時(shí)間可以嘗試一下
