为什么调试证书无法安全地签署 Android APK？

Question

Android Documents说发布带有调试证书的应用程序不安全，但我不知道为什么。 “设计不安全”是什么意思，调试证书是如何设计的？

因为调试证书是由构建工具创建的并且是 大多数应用商店（包括 Google Play 商店）在设计上并不安全 不接受使用调试证书签名的应用程序进行发布。

Answer 1

此页面表明问题是调试证书没有信任锚，因此可以轻松更换证书。这是他们提供的示例：

$ jarsigner -verify -verbose -certs example.apk

sm     11116 Fri Nov 11 12:07:48 ICT 2016 AndroidManifest.xml

      X.509, CN=Android Debug, O=Android, C=US
      [certificate is valid from 3/24/16 9:18 AM to 8/10/43 9:18 AM]
      [CertPath not validated: Path doesn\'t chain with any of the trust anchors]
(...)

Answer 2

我认为它是用Android SDK工具签名的，并且都具有相同的密码，以便将其用于以后的调试任务。所以建议使用CA认证的证书。