Comment vérifier si l'APK est signé ou s'il s'agit d'une "debug build" ?

Question

Pour autant que je sache, dans Android, "release build" est signé APK. Comment le vérifier ? du code ou est-ce qu'Eclipse a une sorte de définition secrète ?

J'en ai besoin pour déboguer le remplissage des éléments d'une ListView à partir des données d'un service web (non, logcat n'est pas une option).

Ce que j'en pense :

• L'application android:debuggable mais pour une raison ou une autre, cela ne semble pas fiable.
• Le codage en dur de l'ID de l'appareil n'est pas une bonne idée, car j'utilise le même appareil pour tester les APK signés.
• Utilisation d'un drapeau manuel quelque part dans le code ? C'est plausible, mais on oubliera certainement de le changer à un moment ou à un autre, et tous les programmeurs sont paresseux.

Answer 1

Pour vérifier l'indicateur de débogage, vous pouvez utiliser ce code :

boolean isDebuggable =  ( 0 != ( getApplicationInfo().flags & ApplicationInfo.FLAG_DEBUGGABLE ) );

Kotlin :

val isDebuggable = 0 != applicationInfo.flags and ApplicationInfo.FLAG_DEBUGGABLE

Pour plus d'informations, voir Sécurisation des applications Android LVL .

Alternativement, si vous utilisez Gradle correctement, vous pouvez vérifier si BuildConfig.DEBUG est vrai ou faux.

Answer 2

Il existe différentes façons de vérifier si l'application est construite avec un certificat debug ou release, mais la méthode suivante me semble la meilleure.

D'après les informations contenues dans la documentation d'Android Signature de la demande La clé de débogage contient le nom distinctif suivant : " CN=Android Debug,O=Android,C=US ". Nous pouvons utiliser cette information pour tester si le paquet est signé avec la clé de débogage sans coder en dur la signature de la clé de débogage dans notre code.

Compte tenu de ce qui précède :

import android.content.pm.Signature;
import java.security.cert.CertificateException;
import java.security.cert.X509Certificate;

Vous pouvez implémenter une méthode isDebuggable de cette manière :

private static final X500Principal DEBUG_DN = new X500Principal("CN=Android Debug,O=Android,C=US");
private boolean isDebuggable(Context ctx)
{
    boolean debuggable = false;

    try
    {
        PackageInfo pinfo = ctx.getPackageManager().getPackageInfo(ctx.getPackageName(),PackageManager.GET_SIGNATURES);
        Signature signatures[] = pinfo.signatures;

        CertificateFactory cf = CertificateFactory.getInstance("X.509");

        for ( int i = 0; i < signatures.length;i++)
        {   
            ByteArrayInputStream stream = new ByteArrayInputStream(signatures[i].toByteArray());
            X509Certificate cert = (X509Certificate) cf.generateCertificate(stream);       
            debuggable = cert.getSubjectX500Principal().equals(DEBUG_DN);
            if (debuggable)
                break;
        }
    }
    catch (NameNotFoundException e)
    {
        //debuggable variable will remain false
    }
    catch (CertificateException e)
    {
        //debuggable variable will remain false
    }
    return debuggable;
}

Answer 3

Si vous souhaitez vérifier un APK statiquement, vous pouvez utiliser

aapt dump badging /path/to/apk | grep -c application-debuggable

Cette sortie 0 si le APK n'est pas débogable et 1 si c'est le cas.

Answer 4

Peut-être en retard, mais l'utilisation de l'iosched BuildConfig.DEBUG

Answer 5

Une version de débogage est également signée, mais avec une clé différente. Elle est générée automatiquement par Eclipse, et son certificat n'est valable qu'un an. Quel est le problème avec android:debuggable ? Vous pouvez obtenir cette valeur à partir du code en utilisant PackageManager .