android - 使用应用程序签名作为 key ？

Question

通过以下代码获取的 Android 中的应用签名有多安全？

        sigs = this.getPackageManager().getPackageInfo(this.getPackageName(), PackageManager.GET_SIGNATURES).signatures;
        privateKey = sig[0].hashCode(); 

我正在考虑使用应用程序的签名作为与网络服务器通信的私钥。这种方法的安全性如何？

Answer 1

绝对没有安全感。所谓的“签名”是签名证书，任何可以使用 WinZip 的人都可以从您的 APK 中提取它。它并不意味着 secret ，所以不要将其视为 secret 。如果您想与 Web 服务器安全地通信，请使用 HTTPS (SSL)。