java - 如何回答 keytool 提出的 Java keystore 问题？

Question

使用 Java 的 keytool 程序创建 keystore 文件时，它会询问一系列有关与 keystore 关联的身份的问题。其中包括一些我想知道它们是否是必需的、它们的用途(如果有的话)、人们将如何看到/使用它们，以及它们应该从什么上下文中得到回答。例如:

“你的名字和姓氏是什么？”所以我想知道，他们指的是谁？如果我们的团队有一位 IT 技术人员为我们运行这个程序，他应该留下自己的名字吗？应该是我们开发团队或部门的经理吗？如果我们在一家公司工作，而留下名字的人离开了公司，我们该怎么办？

“您的组织部门的名称是什么？”如果没有怎么办？

“你们组织的名称是什么？”如果我只是一个制作程序的人怎么办？

“此单位的两个字母的国家/地区代码是什么？” 什么单位？这有什么作用呢？我可以留空吗？

此外，与指定人员提供此信息相关的协议(protocol)、权利和责任是什么？或者这些只是想在我们想要关联此信息时提供帮助，并且如果它们看起来不相关或不需要，我们可以选择将其中任何一个留空？

如果它是 Android Play 商店的移动应用，答案会有所不同吗？

Answer 1

这些问题的目的是向使用该 keystore 文件的人提供有关您/您的组织的信息；例如 Android Play 商店注册人员。

How is one supposed to answer Java keystore questions that keytool asks?

一般来说，您应该如实回答，并提供实现该目的所需的信息。

就您的情况而言，我认为您正在签署您的申请。 (如果我错了，请纠正我......)在这种情况下，证书的目的是(根据 this ):

Android uses this certificate to identify the author of an app ...

因此您的答案应该足以让 Android Play 商店管理员和 Android 最终用户足够明确地识别应用的作者，从而决定是否信任该应用。

显然，在不同的情况下，作者可能被识别为个人、组织单位或组织。这将由您(即发布软件的人)来决定。如果 Android 文档中有一些指导，我找不到它。 (如果您能从 Android/Google 找到任何关于此的“官方”内容，请在下面添加评论。)

<小时/>

Also, what agreements, rights and responsibilities are associated with providing this information, upon the person assigned?

据我所知，没有。但是，上传您的应用程序肯定会给您带来一定的义务。

Or are these just trying to be helpful in case we want this info associated, and we can choose to leave any of them blank if they don't seem relevant or desired?

目前还不清楚。但是，遗漏信息可能会导致人们认为您的证书不值得信任。同样，自签名证书也容易受到怀疑¹。

<小时/>

^{1 - 例如，没有什么可以阻止您编写 Android 应用程序来访问用户的银行帐户。您可以在该应用程序上签名，表明它是由银行发布的。但是，如果证书没有返回到受信任根 CA 的信任链，那么用户应该对您的应用持怀疑态度。}