使用 EAS Update 的端到端代码签名

生成私钥及对应证书

在这一步中，我们将为你的应用生成一对密钥和对应的代码签名证书。请为 --key-output-directory 参数指定一个位于源代码管理之外的目录，以确保生成的私钥不会意外被加入源代码管理。

此命令会生成一对密钥以及一个要包含在应用中的代码签名证书：

• ../keys/private-key.pem：该密钥对的私钥。

• ../keys/public-key.pem：该密钥对的公钥。

• certs/certificate.pem：配置为有效期 10 年的代码签名证书。此文件应加入源代码管理（如果适用）。

• 生成的私钥必须妥善保密并安全存放。上面的命令建议在源代码管理之外的目录中生成并存储这些密钥，以确保它们不会被意外提交到源代码管理中。我们建议以与你存储其他敏感信息相同的方式（KMS、密码管理器等）存储私钥，而你如何存储它将会影响你在第 (3) 步发布更新所需的步骤。

• 公钥可以与私钥一起存放，但它并不敏感。

• 证书应包含在项目中（提交到源代码管理）。它包含公钥以及用于验证代码签名的方法。当下载已签名更新时，会使用此证书验证更新的签名。

• 证书有效期是一个可根据应用安全需求而变化的设置。

  • 较短的有效期会要求更频繁地进行key rotation，但通常被认为是更好的做法，因为一旦私钥泄露，其过期时间会更早，从而限制影响范围。
  • 较短的有效期会增加应用发布流程的开销，因为密钥需要更频繁地轮换。证书过期的二进制文件将无法应用新的更新。
  • 例如，Expo 将此值为公开的 Expo Go 应用设置为 20 年，但对于更频繁分发二进制文件的内部应用则仅设置为 1 年。我们计划每 10 年轮换一次密钥。

配置你的项目以使用代码签名

如果你正在使用 Continuous Native Generation (CNG) 来生成原生项目，那么 npx expo-updates codesigning configure 命令生成的 app.json 配置就是你所需要的全部内容。相关更改会在下次生成原生项目时应用到这些项目中。

{
  "expo": {
    "updates": {
      "codeSigningCertificate": "./certs/certificate.pem",
      "codeSigningMetadata": {
        "keyid": "main",
        "alg": "rsa-v1_5-sha256"
      }
    }
  }
}

如果你没有使用 Continuous Native Generation (CNG) 来生成原生项目，那么你需要在应用的 AndroidManifest.xml 和/或 Expo.plist 文件中配置代码签名。

<meta-data
  android:name="expo.modules.updates.CODE_SIGNING_CERTIFICATE"
  android:value="(在此处插入 XML 转义后的证书)"
  />
<meta-data
  android:name="expo.modules.updates.CODE_SIGNING_METADATA"
  android:value="{&quot;keyid&quot;:&quot;main&quot;,&quot;alg&quot;:&quot;rsa-v1_5-sha256&quot;}"
  />

    <key>EXUpdatesCodeSigningCertificate</key>
    <string>-----BEGIN CERTIFICATE-----&#xD;
(插入 XML 转义后的证书，它看起来应该类似这样)&#xD;
(跨越多行，\r 已转义但 \n 未转义)&#xD;
+-----END CERTIFICATE-----&#xD;
</string>
    <key>EXUpdatesCodeSigningMetadata</key>
    <dict>
      <key>keyid</key>
      <string>main</string>
      <key>alg</key>
      <string>rsa-v1_5-sha256</string>
    </dict>

配置好代码签名后，使用新的 runtime version 创建一个新构建。代码签名证书将被嵌入到这个新构建中。

为你的应用发布已签名更新

在使用 eas update 发布 EAS Update 期间，EAS CLI 会自动检测你的应用是否已配置代码签名。随后它会验证更新的完整性，并使用你的私钥创建数字签名。此过程在本地执行，因此你的私钥永远不会离开你的机器。生成的签名会自动发送给 EAS，以便与更新一同存储。

验证更新已加载

在客户端上下载该更新（这一步由库自动完成）。在第 (2) 步中配置了代码签名的构建会检查是否有可用的新更新。服务器会返回第 (3) 步发布的更新及其生成的签名。更新在下载后、应用前，会使用嵌入的证书和包含的签名进行验证。如果证书和签名有效，则应用该更新；否则会被拒绝。