Android系统使用数字证书来验证APK的签名，以确保APK的完整性和真实性。数字证书是由一个可信任的证书授权中心（CA）签发的，包含公钥和其他相关的信息。
下面是Android系统是如何检验APK签名的详细过程：
1. 获取APK的签名信息：当安装一个APK时，Android系统首先会解析APK文件，然后提取出其中的签名信息。签名信息包括了一个或多个证书，每个证书包含了公钥和其他元数据（如证书的发布者、过期日期等）。
2. 验证证书的合法性：系统会使用内置的根证书列表来验证APK签名证书的合法性。根证书列表是预先包含在系统中的，包含了被信任的证书授权中心的公钥。如果APK签名证书能够被根证书列表中的任一根证书验证通过，那么认为APK的签名是有效的。
3. 检查证书链： 除了验证APK签名证书的合法性，Android系统还会根据签名证书中的颁发者信息和其它证书链中的信息来检查证书链的完整性。证书链是一系列公钥证书的集合，最终连接到一个可信的根证书。如果APK签名证书的证书链能够成功连接到一个可信的根证书，那么认为APK的签名证书是可信的。
4. 验证签名：验证签名是通过使用签名公钥来验证APK的数字签名。在APK文件中，签名信息是通过将文件的哈希值使用私钥进行加密得到的。系统会从APK中提取签名信息，并使用签名证书中的公钥来解密签名信息，得到文件的哈希值。然后，系统会对APK文件进行哈希计算得到一个新的哈希值，并将两个哈希值进行比较，如果相同，则表示APK的签名是有效的。
5. 提示用户：如果APK的签名验证失败，系统会显示一个警告提示给用户，告知APK可能存在潜在的风险。用户可以选择继续安装这个APK，但需要承担一定的风险。
总结起来，Android系统通过验证APK的签名证书的合法性和完整性，以及验证签名的有效性来确保APK的完整性和真实性。这个过程保证了用户能够安全地安装和使用APK文件。
