“應用程序簽名證書”和“上傳證書”的SHA1分別屬於兩個不同的密鑰庫。 這怎么可能？

Question

幾天來，我一直在嘗試上傳現有應用程序的aab。 我們之前從未嘗試過aab，所以這是一次新鮮嘗試。 我遇到一個錯誤消息：“您的android應用程序捆綁包使用了錯誤的密鑰簽名”，這表明SHA1不匹配。 所以我清理了項目，重建了緩存，使緩存失效（因為為什么不這樣做），然后再次嘗試-錯誤仍然存​​在。 不過，上傳常規APK可以與此密鑰庫一起正常工作。

出於好奇，我嘗試在項目目錄中使用另一個密鑰庫（沒有人使用過）來構建簽名的aab，令我驚訝的是，這個新簽名的aab被接受了。 這似乎是不可能的，我發現“應用程序簽名證書”的SHA1屬於一個密鑰庫，而“上傳證書”則屬於另一個密鑰庫。

我不知道這怎么可能。 我們有多個人訪問開發控制台。 即使是人為錯誤，如何接受來自錯誤密鑰庫的上傳證書？ 如何解決此問題，以便可以將aab與實際的密鑰庫一起上傳？

Answer 1

當您（或團隊中的某人）將您的應用注冊到Play進行的App Signing中時 ，您必須已經創建了第二個密鑰庫來創建上傳密鑰 ，並將證書上傳到Google Play（只需按照給定的說明進行操作）。

上載密鑰是用於簽署未來的APK和應用程序捆綁包的密鑰 。

即使創建了此上傳密鑰后，仍然可以使用原始應用程序簽名密鑰來上傳APK，原因是Play希望在此過渡時間內允許您只是在某個測試軌道上測試App Bundle，但又不想同時，當前的APK發布過程會受到影響，因此他們仍然會接受使用應用簽名密鑰上傳的APK。

理想情況下，您現在應該將包含您的應用程序簽名密鑰的密鑰庫放在具有受限ACL的安全位置（因為它遭到破壞可能會造成毀滅性后果，即必須將所有用戶遷移到新應用程序），並且只能使用包含您上傳的密鑰庫密鑰（如果遭到破壞，可以重置）。

有關上傳密鑰和應用簽名密鑰的一些說明，建議您閱讀以下文檔： https : //support.google.com/googleplay/android-developer/answer/7384423?hl=zh-CN