android - 对 APK 签名和证书的困惑

Question

我正在开发一个不会使用 Google Play 或其他商店分发的应用程序。

客户将收到直接安装的 APK。

现在，在这里阅读：https ://developer.android.com/studio/publish/app-signing

我知道 APK 实际上被签名了两次。一次使用上传密钥，然后第二次使用签名密钥。

上传密钥是我用我的数据私下生成的密钥库。

现在，APK 需要使用硬令牌 (Safe Net 5100) 中提供的证书进行签名。如果我理解正确，我实际上无法从该设备中提取私钥。因此，我无法生成密钥库以使用此密钥对 APK 进行签名。

那么，要使用此令牌签名 APK，我是否需要首先使用私有密钥库（例如使用 Android Studio 创建的）生成 APK，然后使用带有此令牌的 apksigner 之类的东西来应用正确的最终签名？

我得到这个正确吗？我应该使用与第二个标志相同的数据创建第一个密钥库吗？（公司名称、国家等）

标签： androidandroid-studio