企业官网建设流程全解析

简介：这份源码资源面向需要在Android应用发布环节处理Google Play签名问题的开发者，尤其是遇到签名校验失败、密钥库不匹配或需要重新生成上传签名的技术场景。资源以Java源码为主体，共包含2000个文件，其中1999个为java源文件、1个为txt说明文件，压缩包约5.02MB，代码覆盖TLS协议实现、证书路径校验、椭圆曲线运算、AES与Threefish等加密引擎以及GOST、DSTU等摘要算法模块，属于偏底层的安全与密码学工具集合。已有372人学习下载，说明其在签名与加密处理方向具备一定参考价值。读者可从中获取完整的签名相关源码实现，结合加密算法与证书校验逻辑理解Google Play签名更新的底层机制，并借助源码结构快速定位关键类，用于二次开发或问题排查，适合具备一定Java与Android安全基础的开发者研读。

1. 从一次签名翻车说起：pepk 源码到底能解决什么

如果你做过 Android 上架，大概率遇到过这种场景：应用在本地跑得好好的，一提交到 Google Play 就提示签名不匹配，或者上传新版本时被拒，说密钥指纹对不上。更麻烦的是，有些团队早期用了 Play App Signing，后来想换签名密钥，或者想把某个渠道包的签名统一到 Play 的签名体系里，结果发现手里只有一份 pepk 加密文件，却不知道怎么把它还原成可用的 keystore。pepk 源码就是干这件事的——它负责把 Play 签名流程里用到的加密私钥导出、解密、再重新封装成标准 Java keystore。这份源码包适合两类人：一类是正在处理签名迁移、密钥轮换的 Android 发布工程师；另一类是想搞清楚 Play 签名底层到底怎么加密、怎么解密的逆向爱好者。它不是一个开箱即用的 GUI 工具，而是一套需要你读懂参数、自己编译、自己跑流程的源码工程。下面我按实际拆包和跑通的顺序，把关键环节拆开讲。

2. pepk 源码结构与加密链路：先搞懂它在干什么

2.1 源码目录里到底有什么

拿到 pepk 源码后，第一件事不是急着编译，而是先看目录结构。常见做法是，根目录下会有src/、lib/、build.gradle或pom.xml，以及一个README说明依赖。核心逻辑通常集中在几个类里：一个负责读取 Play 导出的加密文件（一般是.enc后缀），一个负责用 RSA 私钥解密，还有一个负责把解密后的字节流写回 JKS 或 PKCS12 格式。我一般会先搜PrivateKey、Cipher、KeyStore这三个关键词，定位到解密和写回的关键代码。如果你拿到的源码里还有pepk.jar的构建脚本，那说明它原本是给命令行调用的，参数解析部分也要看一眼，后面跑的时候才知道每个 flag 什么意思。

2.2 加密链路：从 Play 后台到本地 keystore

Play 签名导出时，后台会用你上传的公钥对私钥做一次 RSA 加密，再把加密后的密文和一段元数据打包。pepk 源码要做的，就是用你手里对应的私钥去解这个密文。这里有个容易混淆的点：你上传给 Play 的公钥，和本地用来解密的私钥，必须是同一对。很多人翻车是因为早期生成了多份密钥，上传的是 A 公钥，本地留的是 B 私钥，结果解密出来是乱码。源码里通常会有一个decrypt方法，入参是加密文件路径和私钥文件路径，内部用Cipher.getInstance("RSA/ECB/PKCS1Padding")初始化。如果你看到源码里用的是OAEPWithSHA-256AndMGF1Padding，那说明它适配的是较新的导出格式，参数不能混用。

2.3 编译前必须确认的依赖版本

pepk 源码对 JDK 版本有要求，常见做法是 JDK 8 或 JDK 11。如果你用 JDK 17 直接编译，可能会遇到sun.security相关包被移除的报错。我一般会先看build.gradle里的sourceCompatibility，如果是 1.8，就切到 JDK 8 再跑。另外，BouncyCastle 的版本也要注意，源码里如果引了bcprov-jdk15on，你换成bcprov-jdk18on可能会因为包名变化导致ClassNotFoundException。最稳妥的办法是照着源码里写的版本号去拉依赖，别自己升级。

# 查看当前 JDK 版本，确认是否匹配源码要求 java -version # 如果源码要求 JDK 8，切换 JAVA_HOME export JAVA_HOME=/usr/lib/jvm/java-8-openjdk-amd64 export PATH=$JAVA_HOME/bin:$PATH # 用 gradle 编译，跳过测试先看能不能过 ./gradlew build -x test

上面这段命令的逻辑是：先确认环境，再切 JDK，最后编译。参数-x test是跳过单元测试，因为很多源码包里的测试用例依赖外部文件，你本地没有就会报错。编译成功后，通常在build/libs/下会生成一个可执行的 jar，这就是后面要用的工具。

2.4 跑通第一个解密流程

编译出 jar 之后，先别急着上生产密钥，拿一份测试用的加密文件和对应的私钥跑一遍。常见做法是，把加密文件、私钥、输出路径三个参数按源码要求传进去。如果源码支持命令行，一般长这样：

java -jar pepk.jar \ --keystore=test.keystore \ --alias=testkey \ --output=output.zip \ --encryptionkey=eb10fe8f7c7c9df715022017b00c6471f8ba8170b13049a11e6c09ffe3056a104a3bbe4ac5a955f4ba4fe93fc8cef27558a3eb9d2a529a2092761fbc7d5d8f0

这里的--keystore是你本地已有的 keystore，--alias是别名，--output是解密后重新打包的输出文件，--encryptionkey是 Play 后台给你的那个公钥字符串。注意，这个公钥不是让你用来加密的，而是用来校验的，源码内部会用它来确认解密出来的私钥是否匹配。如果这一步报javax.crypto.BadPaddingException，八成是公钥和私钥不配对，或者加密文件的 padding 模式选错了。

3. 把 pepk 源码接进自己的发布流水线：参数、脚本与验证

3.1 参数怎么设：keystore、alias 与 encryptionkey 的对应关系

pepk 源码里最核心的三个参数就是 keystore、alias 和 encryptionkey。keystore 是你本地保存私钥的文件，alias 是这个文件里具体哪一对密钥，encryptionkey 是 Play 后台展示的那串十六进制字符串。很多人以为 encryptionkey 是密码，其实它是公钥的 DER 编码转十六进制。你可以在源码里找到Hex.decode之类的调用，确认它确实是把这串字符还原成字节数组再构造X509EncodedKeySpec。如果你手里的 keystore 有多个 alias，一定要确认哪个 alias 对应的公钥和 Play 后台显示的一致。常见做法是先用keytool -list -v把每个 alias 的 SHA256 指纹打出来，和 Play 后台的指纹比对，对上了再用。

# 列出 keystore 里所有 alias 的详细信息 keytool -list -v -keystore my.keystore -storepass 你的密码 # 输出里关注 SHA256 指纹，和 Play 后台的签名证书指纹比对

这一步的逻辑是：先确认 alias 对不对，再跑 pepk。参数-storepass后面跟的是 keystore 密码，如果密码里有特殊字符，记得用单引号包起来。比对指纹时，只看 SHA256 那一行，MD5 和 SHA1 已经不被 Play 认可了。

3.2 用脚本把解密和重新签名串起来

如果你不是只处理一个包，而是要把 pepk 解密出来的密钥重新用于多个渠道包的签名，那最好写一个 shell 脚本把流程串起来。我一般会分三步：第一步用 pepk 解密出原始 keystore，第二步用keytool导入到一个新的 JKS 里，第三步用apksigner对 APK 重新签名。下面是一个简化版的脚本示例：

#!/bin/bash # 步骤1：用 pepk 解密出原始密钥材料 java -jar pepk.jar \ --keystore=original.keystore \ --alias=mykey \ --output=decrypted.zip \ --encryptionkey=$ENCRYPTION_KEY # 步骤2：解压 decrypted.zip，里面通常包含 private_key.pepk 和 certificate.pem unzip -o decrypted.zip -d decrypted/ # 步骤3：用 keytool 导入私钥和证书，生成新的 keystore keytool -importkeystore \ -srckeystore decrypted/private_key.pepk \ -srcstoretype PKCS12 \ -destkeystore new.keystore \ -deststoretype JKS \ -deststorepass 新密码 \ -destkeypass 新密码 \ -alias newkey # 步骤4：用新 keystore 对 APK 重新签名 apksigner sign \ --ks new.keystore \ --ks-key-alias newkey \ --ks-pass pass:新密码 \ --key-pass pass:新密码 \ --out app-signed.apk \ app-unsigned.apk

这段脚本的关键在于步骤 2 和步骤 3。decrypted.zip解压后，private_key.pepk其实是一个 PKCS12 格式的密钥库，但它的密码通常是固定的或者空的，源码里会有说明。keytool -importkeystore的作用是把 PKCS12 转成 JKS，同时设置新的密码。参数-srcstoretype PKCS12不能省，否则 keytool 会按 JKS 去解析，直接报错。步骤 4 的apksigner是 Android SDK 自带的工具，路径一般在build-tools/下，用之前记得加到 PATH 里。

3.3 验证解密结果：怎么确认私钥真的能用

解密完不算完，你得验证这个私钥确实能用来签名，而且签名后的 APK 能通过 Play 的校验。最直接的办法是用apksigner verify检查签名后的 APK，看它的证书指纹是否和 Play 后台一致。另一个办法是用keytool -list查看新生成的 keystore，确认 alias 和指纹都对。我一般还会做一个交叉验证：用新 keystore 签一个测试 APK，然后安装到设备上，看能不能正常覆盖安装旧版本。如果覆盖安装失败，说明签名不一致，得回头检查是不是 alias 选错了，或者解密出来的私钥本身就不完整。

# 验证签名后的 APK apksigner verify --verbose --print-certs app-signed.apk # 输出里关注 Signer #1 certificate SHA-256 digest # 和 Play 后台的证书指纹比对，一致才算通过

这里--print-certs会打印出证书的详细信息，包括 SHA256 和 SHA1。你只需要看 SHA256 那一行，和 Play 后台的“应用签名”页面里的证书指纹对一下。如果对不上，说明你用的私钥不是 Play 认可的那一对，后面上传新版本依然会被拒。

3.4 和 CI 集成时要注意的权限与路径问题

如果你想把 pepk 解密流程放进 CI，比如 Jenkins 或 GitHub Actions，有几个坑得提前避开。第一，keystore 文件和密码不能明文写在脚本里，得用 CI 的 secret 功能注入。第二，pepk.jar 的路径要写绝对路径，因为 CI 的工作目录可能和你本地不一样。第三，解密出来的临时文件要在流水线结束后清理掉，别留在构建产物里。常见做法是，把 pepk 解密作为一个独立的 stage，只在需要发布新版本时触发，平时不跑。另外，CI 里的 JDK 版本要和本地一致，否则编译出来的 jar 可能在 CI 上跑不起来。

4. 避坑与排查：签名迁移里最容易翻车的五个点

4.1 现象：解密时报 BadPaddingException

原因：最常见的是 encryptionkey 和本地私钥不配对，或者加密文件在传输过程中被改动过。也有可能是源码里用的 padding 模式和 Play 导出时不一致，比如源码写死了 PKCS1Padding，但 Play 用的是 OAEP。解决：先确认 encryptionkey 是从 Play 后台直接复制的，没有多余空格或换行。然后看源码里Cipher.getInstance的参数，如果是RSA/ECB/PKCS1Padding，而你手里的加密文件是较新格式，就得改成RSA/ECB/OAEPWithSHA-256AndMGF1Padding。改完重新编译再跑。

4.2 现象：keytool 导入时报 keystore 被篡改或密码错误

原因：private_key.pepk解压出来后，它的密码可能不是你以为的那个。有些版本的 pepk 源码在生成 PKCS12 时用的是空密码，有些用的是固定字符串。如果你用-srcstorepass传了错误的密码，keytool 就会报这个错。解决：先看源码里写KeyStore.store时用的密码是什么，通常是一个常量。如果找不到，可以试着用空密码或者changeit跑一遍。另外，-srcstoretype一定要写PKCS12，不能省。

4.3 现象：重新签名后的 APK 安装失败，提示签名不一致

原因：你用来签名的 keystore 里，证书链不完整，或者 alias 对应的私钥和证书不匹配。常见于从 pepk 解密后直接拿private_key.pepk去签名，而没有把证书一起导入。解决：确保decrypted.zip里的certificate.pem也一起导入到新 keystore 里。用keytool -importcert把证书加进去，再用keytool -importkeystore导入私钥。顺序不能反，先导证书再导私钥，否则 alias 对不上。

4.4 现象：CI 上跑 pepk 报 NoSuchAlgorithmException

原因：CI 环境里的 JDK 版本和本地不一致，或者缺少 BouncyCastle 依赖。比如本地用 JDK 8 编译，CI 用 JDK 11 跑，某些加密算法提供者不一样。解决：在 CI 里显式安装和本地一致的 JDK 版本，并且在构建脚本里把 BouncyCastle 的 jar 一起打包进去。如果是 Maven 项目，检查pom.xml里bcprov的 scope 是不是provided，改成compile再试。

4.5 现象：Play 后台提示“密钥指纹不匹配”

原因：你上传的新版本 APK 用的签名密钥，和 Play 后台记录的证书指纹不一致。可能是你解密出来的私钥虽然能用，但对应的证书不是 Play 认可的那张。解决：回到 Play 后台的“应用签名”页面，把证书指纹复制下来，和你本地keytool -list -v输出的 SHA256 逐位比对。如果不一样，说明你手里的 keystore 根本不是当初上传的那一对。这时候只能走 Play 的密钥重置流程，或者联系支持，没有捷径。

5. 进阶：用 pepk 源码做密钥轮换与多环境签名统一

5.1 密钥轮换时怎么保留旧签名

Play 现在支持密钥轮换，但轮换后旧版本的用户还得能升级。常见做法是，用 pepk 源码解密出旧密钥后，不要直接丢弃，而是把它导入到一个“旧密钥库”里，专门用来给旧版本做兼容签名。新版本用新密钥签名，上传时 Play 会自动用旧密钥给旧用户做签名。具体操作是：在 Play 后台申请密钥轮换，拿到新的 encryptionkey，然后用 pepk 源码分别解密旧密钥和新密钥，生成两个 keystore。发布新版本时用新 keystore 签名，但保留旧 keystore 以备回滚。

5.2 多环境签名统一：一份源码管住 debug 和 release

很多团队 debug 和 release 用不同的签名，导致某些依赖签名的功能（比如 Google 登录、Firebase）在 debug 下跑不通。我一般会从 pepk 解密出来的 release 密钥里，导出一个副本作为 debug 签名，这样两边指纹一致，省去很多配置麻烦。具体做法是，用keytool -importkeystore把 release keystore 复制一份，改个 alias 和密码，放到~/.android/debug.keystore的位置。注意，这个操作只适合内部开发，正式发布还是得用独立的 release 密钥。

5.3 验证轮换是否成功：三个必须检查的指标

轮换完别急着全量发布，先做三个检查。第一，用apksigner verify确认新 APK 的签名指纹和 Play 后台的新指纹一致。第二，找一个旧版本的 APK，用旧 keystore 签名后安装，再用新版本覆盖安装，看能不能成功。第三，在 Play 后台的“应用签名”页面，确认新旧证书都在列表里，且状态正常。这三个指标都过了，再推正式版。从那以后我每次做密钥轮换，都会先把这三个检查跑一遍，确认无误才敢点发布。希望帮到你。

本文还有配套的精品资源，点击获取