MobileGlues APK 签名校验：确认下载的是官方版本

为什么要校验签名

MobileGlues 插件是一个有文件访问权限的 Android 应用。如果安装了被篡改或重新打包的版本，可能会带来安全风险。官方发布的每个 APK 都用固定的签名证书，通过比对证书指纹就能确认是不是官方版本。

官方签名信息

MobileGlues 开发组（MGDev）使用的签名证书：

• Signer #1 certificate DN：CN=MGDev, OU=MGDev, O=MGDev, L=Unknown, ST=Unknown, C=CN
• SHA-256 digest：324f4efaff81632373dec9bc714a904b64740249410b551b61805340e42ff5d5
• SHA-1 digest：615bc8b2741c24e7e5847b0c5c1d6816d5b0763a
• MD5 digest：320ede9d22c709fe3792c804d5e00153

校验步骤

1. 下载官方 Android SDK Build Tools（或你的 Android Studio 自带）
2. 找到 apksigner 工具路径（通常在 <SDK>/build-tools/<版本>/apksigner）
3. 运行命令：

apksigner verify --print-certs path/to/MobileGlues-plugin.apk

1. 比对输出中的 certificate DN 和 SHA-256 digest 是否与上面的完全一致

公钥文件

GitHub 仓库还提供了 pub.cer 和 pub.pem 两个文件，可以用任何 PEM 兼容工具与 APK 签名做公钥级别比对。apksigner 命令是最简单的方式，公钥文件适合需要更严谨验证的场景。

为什么重要

第三方重打包的 APK 会用自己的签名覆盖官方签名，校验证书是最直接的识别方式。官方签名永远不会变——即使版本升到 3.0.0，签名证书还是同一个。