Android安全--运行时验证签名

我们都知道现在疯狂地利用dex2jar、apktool等工具进行的反编译二次打包，除了做代码混淆之外，我们还得做一些事情让他们难度上升，时间成本上升，当然这些都是简单的想法，还是能够被搞掉的，这些是防止那些自动工具破解。

思想是这样的：在运行时, android PackageManger允许我们得到已安装应用程序的签名，利用检查签名的指纹，然后在程序中存上一个原装指纹可以放到此处，可以放到服务器上，作对比，如果匹配就让其运行，否则。。。。

代码比较简单：// SIGNATURE 记得要改成自己的，在得到自己的签名指纹的时候把DEBUG置为false
public class SignedCertificate {

private static final boolean DEBUG = true;

private static final String SIGNATURE = "U3avmVG32YEX7gfDwfOuM4nvtFY=";

public static boolean checkAppSignature(Context context) {
try {
PackageInfo packageInfo = context.getPackageManager()
.getPackageInfo(context.getPackageName(),
PackageManager.GET_SIGNATURES);

Signature signature = packageInfo.signatures[0];

MessageDigest mDigest = MessageDigest.getInstance("SHA");
mDigest.update(signature.toByteArray());
final String currentSign = Base64.encodeToString(mDigest.digest(),
Base64.DEFAULT).trim();
if (DEBUG) {
Log.d("MYapp", "Sinature:" + currentSign);
}

if (SIGNATURE.equals(currentSign)) {
return true;
}

} catch (NameNotFoundException | NoSuchAlgorithmException e) {
e.printStackTrace();
}

return false;
}

}

原至：https://www.airpair.com/android/posts/adding-tampering-detection-to-your-android-app
不过里面有些小错误不能工作，修复了如上