当我“让 Google 创建和管理我的应用签名密钥”时，应用签名密钥的有效期是多久？

Question

当我们为 Android 应用创建应用签名密钥时，我们设置了Validity (years)，它的有效期应至少为 25 年。比如我可以设置100年。

但在过去的几年里，我们被介绍了Play App Signing。如果我只创建上传密钥（而不是自己创建应用签名密钥），Google creates and manages the app signing key。

那么，我想知道谷歌创建的应用签名密钥的有效期是多久？我想要它至少100年。不是25年吗？应用签名密钥过期后 Google 会做什么？

Answer 1

今天的 Android 安全模型中不使用证书的有效性。 Play Console 中 25 年有效期的要求可能只是“以防万一”Android 最终会更改安全模型以考虑该领域的规则，但到目前为止还没有，至少在此之前不太可能改变存在一个轮换签名密钥的简单解决方案，即便如此，他们是否要开始执行它也是个问题。

所以，回答你的问题：

• Google 创建的证书有效期为 30 年。
• 证书过期时不会发生任何事情（因为 Android 会忽略有效期）。
• 如果 Android 决定开始强制执行证书有效期（尽管这种可能性不大），Google 不会让所有证书过期的应用程序突然无法安装，因此您可以确定会有一个简单的到那时轮换证书的解决方案。