安卓 APK 签名文件（APK Signature）是用于验证 APK 文件的完整性和来源的数字签名文件。在安装应用程序时，Android 系统会使用 APK 签名文件来验证 APK 文件是否经过篡改，并确定其是否来自可信任的开发者。
APK 签名文件起源于公钥基础设施（Public Key Infrastructure，PKI）的概念。在 PKI 中，数字签名由一个密钥对组成，包括私钥和公钥。开发者使用私钥来对 APK 文件进行签名，而用户使用相应的公钥来验证签名。
APK 签名的过程涉及以下几个步骤：
1. 生成密钥对：开发者可以使用 Java 的 keytool 工具或 Android Studio 提供的 APK 签名工具按照一定的规范生成密钥对。密钥对通常包括一个密钥库文件（keystore）和一个用于签署 APK 的私钥。
2. 对 APK 文件进行签名：开发者使用私钥将 APK 文件进行签名。签名的过程会使用到开发者的私钥和相关信息，以及 APK 文件的摘要。摘要是由一个散列算法生成的固定长度的值，用于表示文件的唯一标识。开发者使用私钥对摘要进行加密，生成数字签名。
3. 将签名添加到 APK 文件中：签名是一个二进制字符串，开发者需要将签名添加到 APK 文件的特定位置，以便系统在安装应用程序时能够找到并验证签名。APK 文件的签名位置通常是在 META-INF 文件夹下的 CERT.RSA 或 CERT.DSA 文件中。
安装应用程序时，Android 系统进行验证过程如下：
1. 提取签名：系统从 APK 文件中提取签名文件。
2. 获取证书：系统从签名文件中获取证书信息，包括开发者的公钥和其他辅助信息。
3. 计算摘要：系统会对 APK 文件的内容进行散列计算，生成与开发者在签名时使用的同样散列算法和摘要值。
4. 验证签名：系统对比 APK 文件中的摘要与开发者在签名时生成的摘要是否一致。如果一致，证明 APK 文件未经篡改；如果不一致，则证明 APK 文件已被篡改，并禁止安装。
APK 签名文件的作用是确保应用程序在发布和安装过程中的完整性和可信度。通过验证 APK 签名，用户可以确认 APK 文件的来源，避免安装潜在的恶意应用程序或经过篡改的应用程序。同时，开发者也可以通过签名文件防止他人对其应用进行非法修改或复制。
