OpenHarmony—Hap包签名工具

最新推荐文章于 2025-10-05 08:30:52 发布

原创

最新推荐文章于 2025-10-05 08:30:52 发布 · 2k 阅读

14 ·

CC 4.0 BY-SA版权

文章标签：

#https #ssl #服务器 #harmonyos #移动开发 #鸿蒙开发 #华为

概述

为了保证OpenHarmony应用的完整性和来源可靠，在应用构建时需要对应用进行签名。经过签名的应用才能在真机设备上安装、运行、和调试。developtools_hapsigner仓提供了签名工具的源码，包含密钥对生成、CSR文件生成、证书生成、Profile文件签名、Hap包签名等功能。

说明：
针对无需通过ACL跨级别申请权限的应用，DevEco Studio为开发者提供了自动化签名方案，可以一键完成应用/服务签名。具体可参考 自动化签名方案。

基本概念

Hap包签名工具支持本地签名需求的开发，为OpenHarmony应用提供完整性保护和来源管控机制，该签名工具基于PKI公钥证书的机制实现，在进行开发前，开发者应了解以下基本概念：

非对称密钥对：

非对称密钥算法是数据签名/验签的基础，应用签名工具实现了标准的非对称密钥对生成功能（支持的密钥对类型包括ECC P384/256、RSA2048/3072/4096）

CSR：

CSR（Certificate Signing Request）证书签发请求是生成证书的前提，他包括证书的公钥、证书主题和私钥签名，在申请证书之前，需要先基于密钥对生成CSR，然后提交给CA签发证书。

证书：

OpenHarmony采用RFC5280标准构建X509证书信任体系。用于应用签名的OpenHarmony证书共有三级，分为：根CA证书、中间CA证书、最终实体证书，其中最终实体证书分为应用签名证书和profile签名证书。应用签名证书表示应用开发者的身份，可保证系统上安装的应用来源可追溯，profile签名证书实现对profile文件的签名进行验签，保证profile文件的完整性。

HAP：

HAP（OpenHarmony Ability Package）是Ability的部署包，OpenHarmony应用代码围绕Ability组件展开，它是由一个或者多个Ability组成。

Profile文件：

HarmonyAppProvision配置文件，hap包中的描述文件，该描述文件描述了已授权的证书权限和设备ID信息等信息。

约束与限制

Hap包签名工具基于Java语言开发，需要Java8以上Java环境运行。
一键签名等脚本文件基于Python语言开发，使用需配置环境python3.5及以上。

编译构建

该工具基于Gradle 7.1编译构建，请确认环境已安装配置Gradle环境，并且版本高于或等于7.1。

gradle -v

下载代码，命令行打开文件目录至developtools_hapsigner/hapsigntool，执行命令进行编译打包。

    gradle build

或

    gradle jar

编译后得到二进制文件，目录为: ./hap_sign_tool/build/libs/hap-sign-tool.jar。

开发指导

场景介绍

OpenHarmony系统内置密钥库文件，文件名称为OpenHarmony.p12，内含根CA证书、中间CA证书、最终实体证书等信息，工具基于该密钥库文件对OpenHarmony应用进行签名。

按照有无应用签名证书可分为以下两种场景：

无应用签名证书场景：开发者使用该工具对Hap包签名时，需按照签名步骤从第一步生成应用签名证书密钥对依次完成应用签名证书生成、profile文件签名、应用签名流程。
有应用签名证书场景：开发者可直接从签名步骤第三步对profile文件进行签名开始开发，使用应用签名证书和包含对应密钥的本地密钥库文件对应用进行签名。

命令说明

输出命令帮助信息。

    -help     # 输出命令帮助信息（不输入参数默认输出命令帮助信息）

输出版本信息。

    -version  # 输出版本信息

生成密钥对。

    generate-keypair : 生成密钥对
        ├── -keyAlias          # 密钥别名，必填项
        ├── -keyPwd            # 密钥口令，可选项
        ├── -keyAlg            # 密钥算法，必填项，包括RSA/ECC
        ├── -keySize           # 密钥长度，必填项，RSA算法的长度为2048/3072/4096，ECC算法的长度NIST-P-256/NIST-P-384
        ├── -keystoreFile      # 密钥库文件，必填项，JKS或P12格式
        ├── -keystorePwd       # 密钥库口令，可选项

生成证书签名请求。

    generate-csr : 生成证书签名请求
        ├── -keyAlias          # 密钥别名，必填项
        ├── -keyPwd            # 密钥口令，可选项
        ├── -subject           # 证书主题，必填项
        ├── -signAlg           # 签名算法，必填项，包括SHA256withRSA / SHA384withRSA / SHA256withECDSA / SHA384withECDSA
        ├── -keystoreFile      # 密钥库文件，必填项，JKS或P12格式
        ├── -keystorePwd       # 密钥库口令，可选项
        ├── -outFile           # 输出文件，可选项，如果不填，则直接输出到控制台

生成根CA/中间CA证书。

    generate-ca : 生成根CA/中间CA证书，如果密钥不存在，一起生成密钥
        ├── -keyAlias                        # 密钥别名，必填项
        ├── -keyPwd                          # 密钥口令，可选项
        ├── -keyAlg                          # 密钥算法，必填项，包括RSA/ECC
        ├── -keySize                         # 密钥长度，必填项，RSA算法的长度为2048/3072/4096，ECC算法的长度NIST-P-256/NIST-P-384
        ├── -issuer                          # 颁发者的主题，可选项，如果不填，表示根CA
        ├── -issuerKeyAlias                  # 颁发者的密钥别名，可选项，如果不填，表示根CA
        ├── -issuerKeyPwd                    # 颁发者的密钥口令，可选项
        ├── -subject                         # 证书主题，必填项
        ├── -validity                        # 证书有效期，可选项，默认为3650天
        ├── -signAlg                         # 签名算法，必填项，包括SHA256withRSA / SHA384withRSA / SHA256withECDSA / SHA384withECDSA
        ├── -basicConstraintsPathLen         # 路径长度，可选项，默认为0
        ├── -keystoreFile                    # 密钥库文件，必填项，JKS或P12格式
        ├── -keystorePwd                     # 密钥库口令，可选项
        ├── -issuerKeystoreFile              # 签发者密钥库文件，可选项，JKS或P12格式
        ├── -issuerKeystorePwd               # 签发者密钥库口令，可选项
        ├── -outFile                         # 输出文件，可选项，如果不填，则直接输出到控制台

生成应用调试/发布证书。

    generate-app-cert : 生成应用调试/发布证书
        ├── -keyAlias                        # 密钥别名，必填项
        ├── -keyPwd                          # 密钥口令，可选项
        ├── -issuer                          # 颁发者的主题，必填项
        ├── -issuerKeyAlias                  # 颁发者的密钥别名，必填项
        ├── -issuerKeyPwd                    # 颁发者的密钥口令，可选项
        ├── -subject                         # 证书主题，必填项
        ├── -validity                        # 证书有效期，可选项，默认为3650天
        ├── -signAlg                         # 签名算法，必填项，包括SHA256withECDSA / SHA384withECDSA；
        ├── -issuerKeystoreFile              # 签发者密钥库文件，可选项，JKS或P12格式
        ├── -issuerKeystorePwd               # 签发者密钥库口令，可选项
        ├── -keystoreFile                    # 密钥库文件，必填项，JKS或P12格式
        ├── -keystorePwd                     # 密钥库口令，可选项
        ├── -outForm                         # 输出证书文件的格式，包括 cert / certChain，可选项，默认为certChain
        ├── -rootCaCertFile                  #  outForm为certChain时必填，根CA证书文件
        ├── -subCaCertFile                   #  outForm为certChain时必填，中间CA证书文件
        ├── -outFile                         #  输出证书文件(证书或证书链)，可选项，如果不填，则直接输出到控制台