（1）生成MANIFEST.MF文件

生成MANIFEST.MF是對(duì)APK包中所有未簽名文件逐個(gè)用算法SHA1進(jìn)行數(shù)字簽名，再對(duì)數(shù)字簽名信息采用Base64進(jìn)行編碼，最后將編完碼的簽名寫入MANIFEST.MF文件中。添加數(shù)字簽名到manifest文件通過調(diào)用addDigestsToManifest方法實(shí)現(xiàn)，具體代碼如下：

（簡(jiǎn)言之：MANIFESt.MF 文件中的內(nèi)容就是通過遍歷apk中所有文件（entry），逐一生成SHA-1數(shù)字簽名，然后通過Base64編碼轉(zhuǎn)碼）

private static Manifest addDigestsToManifest(JarFile jar)  
{  
 ……  
 //遍歷update.apk包中所有文件  
 //得到簽名文件內(nèi)容  
 InputStream data = jar.getInputStream(entry);  
 
 //更新文件內(nèi)容  
 while ((num = data.read(buffer)) > 0) {  
  md.update(buffer, 0, num);  
 }  
 ……  
    //進(jìn)行SHA1簽名，并采用Base64進(jìn)行編碼  
 attr.putValue("SHA1-Digest", base64.encode(md.digest()));  
 output.getEntries().put(name, attr);  
 ……  
}  

需要說明，生成MANIFEST.MF使用了SHA1算法進(jìn)行數(shù)字簽名，SHA1是一種Hash算法，兩個(gè)不同的信息經(jīng)Hash運(yùn)算后不會(huì)產(chǎn)生同樣的信息摘要，由于SHA1是單向的，所以不可能從消息摘要中復(fù)原原文。如果惡意程序改變了APK包中的文件，那么在進(jìn)行APK安裝校驗(yàn)時(shí)，改變后的摘要信息與MANIFEST.MF的檢驗(yàn)信息不同，應(yīng)用程序便不能安裝成功。

（2）生成CERT.SF文件

在生成MANIFEST.MF文件之后，用SHA1-RSA算法對(duì)其進(jìn)行私鑰簽名（使用SHA1-RSA算法，用私鑰對(duì)MANIFEST.MF摘要文件簽名，并對(duì)其中每個(gè)文件摘要簽名），便生成CERT.SF。具體代碼如下：

Signature signature = Signature.getInstance("SHA1withRSA");  
signature.initSign(privateKey);  
je = new JarEntry(CERT_SF_NAME);  
je.setTime(timestamp);  
outputJar.putNextEntry(je);  
writeSignatureFile(manifest, newSignatureOutputStream(outputJar, signature)); 

RSA是目前最有影響力的公鑰加密算法，是一種非對(duì)稱加密算法、能夠同時(shí)用于加密和數(shù)字簽名。由于RSA是非對(duì)稱加密算法，因此用私鑰對(duì)生成MANIFEST.MF的數(shù)字簽名加密后，在APK安裝時(shí)只能使用公鑰才能解密它。

（3）生成CERT.RSA文件

生成CERT.RSA文件與生成CERT.SF文件不同之處在于，生成CERT.RSA文件使用了公鑰文件。CERT.RSA文件中保存了公鑰以及所用的采用加密算法等信息。具體代碼如下：

je = new JarEntry(CERT_RSA_NAME);  
je.setTime(timestamp);  
outputJar.putNextEntry(je);  
writeSignatureBlock(signature, publicKey, outputJar); 

通過以上對(duì)Android應(yīng)用程序簽名的代碼分析，可以看出Android系統(tǒng)通過對(duì)第三方APK包進(jìn)行簽名，達(dá)到保護(hù)系統(tǒng)安全的目的。應(yīng)用程序簽名主要用于對(duì)開發(fā)者身份進(jìn)行識(shí)別，達(dá)到防范惡意攻擊的目的，但不能有效地限制應(yīng)用程序被惡意修改，只能夠檢測(cè)應(yīng)用程序是否被修改過，如果應(yīng)用程序被修改應(yīng)該再采取相應(yīng)的應(yīng)對(duì)措施。