如果我的應用程序私鑰公開，它會有什麼後果嗎？

Question

我正在開發一款Android應用程序，並在應用程序購買中進行測試，我不得不在Google Play開發者控制檯中設置其頁面。這需要我上傳一個.apk文件，所以我上傳了一個空白項目，創建了IntelliJ IDEA。 IntelliJ有一個用默認證書籤名的選項（其密碼是公開的），我用這個選項認爲它不重要，因爲我稍後會上傳用我自己的證書籤名的應用程序。

但據我所知，谷歌不允許我在應用程序發佈後發佈（我已發佈到封閉的alpha測試）來更改.apk的簽名證書。我唯一的選擇是在Google Play控制檯中創建一個新應用，但需要具有不同的應用ID，我真的不想這樣做。

如果我釋放我的應用程序，並且每個人都可以找到我用於簽署我的應用程序的證書的密碼（他們也可以下載證書），它會涉及哪種風險？有沒有？

Answer 1

我能想到的唯一的風險與發佈的APK與已知的密鑰簽名是：

1. 如果有人對你的谷歌帳戶的密碼，他們可以登錄並更新發布到你的應用程序，因爲他們也可以用最初使用的相同方式簽署APK。

2. 如果您的應用安裝在設備上，則有人可以向其下載更新，並且Android會允許它的應用ID和簽名都匹配。這個側面載入的應用程序然後可以訪問應用程序的先前安裝中創建的所有用戶數據。

如果是我決定是否使用此密鑰發佈，我只需創建一個新的應用程序ID。消費者真的不關心那個字符串，甚至可能永遠不會看到它。