开启 Android 签名保护

如您的 OEM App 是基于 v4.5 及以上版本构建的，为提高安全性，必须开启 Android 签名保护 功能，否则无法构建 OEM App。开启 Android 签名保护 后，能够防止应用被重签名后重新打包伪造发布，保护您的应用和用户。

背景信息

涂鸦会校验您的 Android 应用签名信息，任何不在 签名白名单 的终端网络请求都会被拒绝。因此，您需要在 涂鸦 IoT 开发平台 录入 Android 应用签名信息，以添加到 签名白名单，从而通过权限校验。

在涂鸦 IoT 开发平台开启 Android 签名保护 后，会自动生成签名文件，并将该签名文件添加到 签名白名单，您可以放心使用。

Android 应用签名有以下几种更改方式：

• 手动重签名

• 应用加固

• 在 Google Play 应用后台配置了应用签名密钥证书

• 其它方式

  如果在构建完 OEM App 包后，您通过以上任何方式更改了应用的签名，都需要将 新签名摘要信息 录入到涂鸦 IoT 开发平台，否则您的应用将无法使用。

第一步：开启签名保护

1. 登录 涂鸦 IoT 开发平台。

2. 在 App 的 OEM App 目录下，找到 上架配置 > Android 证书。

3. 在 Android App 证书 的 Android 签名保护 选项中，选择 开启。

   

第二步：新增 SHA256 密钥

在以下情况下，您需要在涂鸦 IoT 开发平台上新增 SHA256 密钥，否则线上应用将不能继续使用：

• 您已配置了 Google Play 应用签名密钥证书。更多详情，请参考下文 如何查看 Google Play 应用的 SHA256 密钥？
• 您的 App 应用进行了 SHA-256 重签名操作。

1. 在 Android App 证书 的 新增 SHA256 输入框中，输入 SHA256 密钥。

2. 单击 保存。

   

   为了更好的保护您的 App 应用信息安全，请不要直接提供 Keystore 等文件给涂鸦工作人员协助上传，请通过 涂鸦 IoT 开发平台 新增 SHA256 选项框，自行将 SHA-256 证书指纹 配置到涂鸦 IoT 开发平台。

常见问题

如何查看 Google Play 应用的 SHA256 密钥？

请前往 Google Play 管理中心，选择您的应用，在 发布 > 设置 > 应用完整性 页面，选择 应用签名 > 应用签名密钥证书，即可查看 SHA-256 证书指纹。

如何查看 Android App 应用的 SHA256 密钥？

使用 keytool 工具，可以获取您的应用签名信息。在终端（Terminal）使用 keytool 运行以下命令，即可查看应用的签名摘要：

1. 获取 APK 的签名摘要。

   keytool -printcert -jarfile xxx.apk
   

   

2. 获取 keystore 的签名摘要。

   keytool -list -v -keystore xxx.keytore
   

   

如何为涂鸦 App SDK 应用添加 SHA256 密钥？

1. 前往 涂鸦 IoT 开发平台 > App > App SDK > SDK 开发。

2. 选择您的 App SDK 应用，单击 获取密钥 选项。

3. 在 证书 区域，单击 新增 SHA256 按钮，将您的 SHA256 证书填写到输入框。

4. 保存 SHA256 证书。

   

报错排查

如果您遇到以下 App 报错，请按本小节描述排查原因。

OEM App 排查

1. 检查是否修改了 App 包名。
2. 检查是否配置好 SHA 256 签名。

App SDK 应用排查

1. 检查是否修改了 App 包名。
2. 检查是否配置好 SHA 256 签名。
3. 检查是否配置了准确的 App Key 和 App Secret 密钥。
4. 检查是否配置了 App SDK 安全图片。