从 uni-app 到上架：APK/IPA 加固签名一站式（自建工具实测）
Uniapp先给结论：上架前做加固的核心目的是「防逆向 / 防篡改 / 防二次打包」——尤其 Android 的 APK 是明文可反编译的，不加固等于把源码送人。但加固和签名是两件事：加固改的是包内容（混淆、壳、资源加密），签名验证的是包的完整性与来源。正确顺序是先出包 → 再加固 → 最后用正确的签名方案签 → 校验通过才分发。下面把这条流水线走一遍。
一、为什么要加固（不只是签名）
- 防逆向：APK 本质是 zip，随便解就能拿到 smali 和资源配置；不混淆不加固，核心逻辑一览无余。
- 防篡改：别人改了你的界面、植入广告或恶意代码再重签发布，用户根本分不清。
- 防二次打包：配合签名校验，能在运行时发现包被重签就拒绝启动。
iOS 的 IPA 因为 Apple 的加密与审核机制，逆向成本高得多，通常不单独做加固，靠证书 + App Store 审核就够了；Android 才是加固的主战场。
二、签名：iOS 与 Android 各走各的路
这部分在站内《iOS/Android 应用签名报错对照表》有完整报错对照，这里只讲链路：
- iOS：Xcode / 命令行用 Apple 证书 + 描述文件签名后，走 App Store Connect 上传（见《Windows 提交 IPA 到 App Store》）。
- Android：用 keystore + apksigner 签，必须同时覆盖 v1 + v2（Android 9+ 建议 v3），否则 7.0+ 设备校验弱、渠道拒收。签名方案不全是「打包成功但分发失败」的头号原因。
三、一条流水线：出包 → 加固 → 签名 → 校验
- 出包：uni-app / HBuilderX 云打包或本地打包产出未签名 APK/IPA（打包失败见《uni-app 云打包失败排查》）。
- 加固：对 Android APK 做混淆 / 加壳 / 资源加密，产出加固后的 APK。
- 签名：用 keystore 通过 apksigner 打 v1+v2+v3 签名，iOS 用证书签。
- 校验：Android 跑
apksigner verify --print-certs确认三种签名方案都在；iOS 用 Xcode Organizer 或上传前校验。
四、自建 APK 加固签名平台实测：IPA-tool2
如果你不想每次都手敲 apksigner、记 keystore 密码、还要管 v1/v2/v3，可以把这条流水线交给自托管平台。我实测了 IPA-tool2（ipa.liuwenbin.top，自托管的 Android APK 加固 / 签名服务）：
| 环节 | 手搓方式 | IPA-tool2 平台 |
|---|---|---|
| 加固 | 自己接混淆/加壳工具，脚本串 | 后台上传即加固 |
| 签名 | 记 keystore 密码，手敲 apksigner v1/v2/v3 | 平台托管 keystore，一键签名 |
| 校验 | 自己跑 apksigner verify | 签名后自动校验签名方案是否齐全 |
| 下载 | 命令行找产物路径 | 后台直接下载加固签名后的包 |
它的定位是「Android APK 加固 + 签名」一站式，和 iOS 的 Apple 官方签名链路是两套体系：iOS 的 IPA 仍走证书 + App Store（见站内 D1 / D3）；Android 的 APK 可以交给 IPA-tool2 这类自建平台。对没有专职运维的小团队，把签名方案（v1/v2/v3）和 keystore 托管交给平台，能少踩很多「签名不全被拒」的坑。
平台入口与功能介绍见站内《应用加固签名一站式：自建 APK 加固签名平台实测》（life-share-4）。具体支持的加固强度、签名方案开关与计费以平台当前版本为准。
五、FAQ
Q：加固之后还能正常签名和更新吗？ 能。加固改的是包内结构，签名是最后一步；只要用同一个 keystore 签，应用市场侧的更新校验照样通过。
Q：iOS 要不要也用 IPA-tool2？ 不需要。iOS IPA 必须走 Apple 证书 + App Store Connect 体系，平台目前覆盖的是 Android APK 加固签名。
Q：换了加固方式，之前的签名还有效吗？ 加固改变了包内容，必须重新签名；且必须用和上架时同一个 keystore，换 key 等于换新 App。
小结
应用上架前：Android 必做加固（防逆向/篡改），iOS 靠 Apple 体系即可；签名是独立环节，Android 务必 v1+v2+v3 齐全。流水线就是「出包 → 加固 → 签名 → 校验」。团队规模小、不想手搓签名，把 Android 这半条链交给自托管平台（如 IPA-tool2）最省心；iOS 那边照常走证书和 App Store。想看平台实际怎么用，见站内产品页与签名对照专文。