OpenHarmony应用签名 - DevEco Studio 自动签名

TiZizzz 2023-02-21 14:06:03

概述

文档环境

开发环境：MacBook Pro

DevEco Studio 版本：DevEco Studio 3.1 Beta1（3.1.0.200）

SDK 版本：3.2.10.6

开发板型号：DAYU 200

系统版本：OpenHarmony 3.2 Beta5

功能简介

为了保证OpenHarmony应用的完整性和来源可靠，在应用构建时需要对应用进行签名。经过签名的应用才能在设备上安装、运行、和调试。DevEco Studio自动化签名功能仅用于应用调试阶段使用，不可用于发布上架应用市场。

基本概念

Hap包签名工具支持本地签名需求的开发，为OpenHarmony应用提供完整性保护和来源管控机制，该签名工具基于PKI公钥证书的机制实现，在进行开发前，开发者应了解以下基本概念：

非对称密钥对：非对称密钥算法是数据签名/验签的基础，应用签名工具实现了标准的非对称密钥对生成功能（支持的密钥对类型包括ECC P384/256、RSA2048/3072/4096）
CSR：CSR（Certificate Signing Request）证书签发请求是生成证书的前提，他包括证书的公钥、证书主题和私钥签名，在申请证书之前，需要先基于密钥对生成CSR，然后提交给CA签发证书。
证书：OpenHarmony采用RFC5280标准构建X509证书信任体系。用于应用签名的OpenHarmony证书共有三级，分为：根CA证书、中间CA证书、最终实体证书，其中最终实体证书分为应用签名证书和profile签名证书。应用签名证书表示应用开发者的身份，可保证系统上安装的应用来源可追溯，profile签名证书实现对profile文件的签名进行验签，保证profile文件的完整性。
HAP包：HAP（OpenHarmony Ability Package）是Ability的部署包，OpenHarmony应用代码围绕Ability组件展开，它是由一个或者多个Ability组成。
profile文件：Hap包中的描述文件，该描述文件描述了已授权的证书权限和设备ID信息等信息。

签名配置

应用签名信息配置于工程目录build-profile.json5文件中，配置项说明：

{
  "app": {                                 //工程级别信息配置，包含API等级、签名和产品信息
    "signingConfigs": [{                   //工程的签名信息，可包含多个签名信息
      "name": "default",                   //标识签名方案的名称
      "material": {                        //该方案的签名材料
        "certpath": "ohos.cer",            //调试或发布证书文件，格式为.cer
        "storePassword": "******",         //密钥库Password，以密文形式呈现
        "keyAlias": "debug_ohos",          //密钥别名信息
        "keyPassword": "******",           //密钥Password，以密文形式呈现
        "profile": "ohos.p7b",             //调试或发布证书Profile文件，格式为.p7b
        "signAlg": "SHA256withECDSA",      //密钥库signAlg参数
        "storeFile": "ohos.p12"            //密钥库文件，格式为.p12
      }
    }],
    "products": [{                         //定义构建的产品品类，如通用默认版、付费版、免费版等
      "name": "default",                   //定义产品的名称，由开发者自定义
      "signingConfig": "default"           //指定当前产品品类对应的签名信息，签名信息需要在signingConfigs中进行定义
    }]
    ···
  }
}
···