sha和sha1证书如何像facebook一样保护android应用程序上的api?

Facebook正在利用 Android application signing functionality 在api交互的上下文中提供相同类型的保证。

构建应用程序时,将使用私钥对结果进行数字签名。签名验证生成是由密钥所有者创建的,而不是随后修改的。

在应用程序中,将存储一个签名证书,该证书可通过编程方式访问。

在facebook sdk中, the signing certificate is extracted 使用 PackageManager class 是的。结果keyhash是 provided as a parameter to API calls ,与 the hash you provided via their Developer ste 是的。

因此,通过提供带外keyhash(即导出并进入开发人员站点),facebook能够验证带内实例(即编译到应用程序中并包含在api请求中)。