Travailler avec les métadonnées de sécurité dans le fichier APK

Comment Google insérer ces métadonnées dans le bloc de signature APK de l'APK et comment vérifie-t-il ces métadonnées sur le téléphone (techniquement)?

Techniquement, la signature "Frosting" de Google est insérée de la même manière que décrit dans le Schéma de signature APK v2. Notez qu'elle est simplement ajoutée à la même section à l'intérieur du fichier ZIP - elle ne remplace pas les signatures existantes dans cette section.

Je suppose qu'il est possible de créer du contenu personnalisé dans ce bloc de signature? Disons que je veux distribuer un APK de manière privée au sein de mon entreprise, lorsque l'utilisateur installe cet APK, je peux déterminer si l'APK appartient à notre entreprise ou non, tout comme l'a fait Google avec leurs applications sur le Play Store.

D'après ce que je sais, les seules "métadonnées" sont la signature elle-même. Si elle est présente, c'est un APK provenant du Play Store.

Si tous les développeurs utilisent la signature d'application par Google Play, les métadonnées de sécurité mentionnées ci-dessus deviennent-elles inutiles? Parce que Google peut simplement vérifier le certificat à l'intérieur de chaque APK.

Non. La signature Frosting de Google est simplement une signature supplémentaire. Le modèle de permission Android repose toujours sur la signature APK commune du développeur. Seule l'application Google Play Store est capable de vérifier la signature Frosting de Google. Les autres parties du système Android (celles d'AOSP) ne reconnaissent même pas cette signature.

Pour plus de détails techniques, consultez cette question + réponses sur Stackoverflow : Métadonnées de sécurité dans l'APK Android