开启 Android 签名保护

如果您的 OEM App 是基于 v4.5 及以上版本构建的，为了提高安全性，必须开启 Android 签名保护 功能，否则无法构建 OEM App。开启 Android 签名保护 后，能够防止应用被重签名后重新打包伪造发布，保护您的应用和用户。

背景信息

涂鸦会校验您的 Android 应用签名信息，任何不在 签名白名单 的终端网络请求都会被拒绝。因此，您需要在 涂鸦开发者平台 录入 Android 应用签名信息，以便添加到 签名白名单，从而通过权限校验。

在涂鸦开发者平台开启 Android 签名保护 后，会自动生成签名文件，并将该签名文件添加到 签名白名单，您可以放心使用。

Android 应用签名有以下几种更改方式：

• 手动重签名

• 应用加固

• 在 Google Play 应用后台配置了应用签名密钥证书

• 其它方式

  如果在构建 OEM App 包后，您通过以上任何方式更改了应用的签名，都需要将 新签名摘要信息 录入到涂鸦开发者平台，否则您的应用将无法使用。

第一步：开启签名保护

1. 登录 涂鸦开发者平台。

2. 在 App 的 OEM App 目录下，找到 上架配置 > Android 证书。

3. 在 Android App 证书 的 Android 签名保护 选项中，选择 开启。

   

第二步：新增 SHA256 密钥

在以下情况下，您需要在涂鸦开发者平台上新增 SHA256 密钥，否则线上应用将不能继续使用。

• 您已配置了 Google Play 应用签名密钥证书。更多详情，请参考下文 如何查看 Google Play 应用的 SHA256 密钥？

• 您的 App 应用进行了 SHA-256 重签名操作。

  SHA256 是一种安全哈希算法。对于任何一段信息，通过 SHA256 加密之后，都会是一个固定的 256 位由 0 和 1 组成的输出。对于相同的信息，输出将保持一致。而对于不同的信息，即使输入仅有微小差异，输出也会显著不同。这种机制能够有效保障输入输出的信息安全性。

1. 在 Android App 证书 的 新增 SHA256 输入框中，输入 SHA256 密钥。

2. 单击 保存。

   

   为了更好地保护您的 App 应用信息安全，请不要直接提供 Keystore 等文件给涂鸦工作人员协助上传。请通过 涂鸦开发者平台 新增 SHA256 选项框，自行将 SHA-256 证书指纹 配置到涂鸦开发者平台。

常见问题

如何查看 Google Play 应用的 SHA256 密钥？

请前往 Google Play 管理中心，选择您的应用，在 发布 > 设置 > 应用完整性 页面，选择 应用签名 > 应用签名密钥证书，即可查看 SHA-256 证书指纹。

如何查看 Android App 应用的 SHA256 密钥？

使用 keytool 工具，可以获取您的应用签名信息。在终端（Terminal）使用 keytool 运行以下命令，即可查看应用的签名摘要：

1. 获取 APK 的签名摘要。

   keytool -printcert -jarfile xxx.apk
   

   

2. 获取 keystore 的签名摘要。

   keytool -list -v -keystore xxx.keytore
   

   

如何为涂鸦 App SDK 应用添加 SHA256 密钥？

1. 前往 涂鸦开发者平台 > App > App SDK > SDK 开发。

2. 选择您的 App SDK 应用，单击 获取密钥 页签。

3. 在 证书 区域，单击 新增 SHA256 按钮，将您的 SHA256 证书填写到输入框。

4. 保存 SHA256 证书。

   

报错排查

如果您遇到以下 App 报错，请按本小节描述排查原因。

OEM App 排查

1. 检查是否修改了 App 包名。
2. 检查是否已经配置 SHA 256 签名。

App SDK 应用排查

1. 检查是否修改了 App 包名。
2. 检查是否已经配置 SHA 256 签名。
3. 检查是否已经配置准确的 App Key 和 App Secret 密钥。
4. 检查是否已经配置 App SDK 安全图片。