2. 环境搭建与SDK配置：minSdkVersion要求、依赖库引入、模拟器与真机差异

搭建 Android Keystore 加密开发环境时，minSdkVersion 直接决定了可用的 KeyStore 特性与 API 级别。自 API 18（Android 4.3）起系统内置 KeyStore，而更高级的 KeyGenParameterSpec（支持 AES-GCM / ECDSA / 安全密钥导出）要求 API 23+。同时，依赖库的选择会影响 TLS、证书验证等功能的兼容性。

2.1 minSdkVersion 要求

2.2 依赖库引入

在 build.gradle（模块级别）中使用以下核心依赖：

// app/build.gradle
android {
    compileSdk 34
    defaultConfig {
        minSdk 23          // 至少 23 以使用 KeyGenParameterSpec
        targetSdk 34
    }
}

dependencies {
    // AndroidX Security Crypto（推荐，提供 EncryptedSharedPreferences 等便捷封装）
    implementation "androidx.security:security-crypto:1.1.0-alpha06"

    // 若需要 TrustManager / TLS 手动验证，可引入 Conscrypt
    implementation "org.conscrypt:conscrypt-android:2.5.2"

    // 用于 RSA/EC 操作的标准库（已随 Android SDK 包含）
    // 无需额外引入
}

2.3 模拟器与真机差异

开发阶段务必区分模拟器与真机行为：

• 模拟器（x86 / ARM）：KeyStore 由软件模拟实现，不具备硬件隔离（如 TEE / StrongBox）。密钥材料驻留在用户空间，存在被 Root 或快照提取的风险。
• 真机（非 Root）：大多数设备支持基于 TEE（TrustZone）或专属安全协处理器的硬件 KeyStore，密钥无法从 Android 上下文中导出。
• StrongBox：仅部分高端设备（Pixel 4+、三星 S10+ 等）具有独立安全芯片，API 28 以上可检测。

2.4 常见错误与稳定性优化

• 错误：minSdk < 23 却调用 KeyGenParameterSpec.Builder → 改用 KeyPairGeneratorSpec 或升级 minSdk。
• 错误：在模拟器测试通过后，真机出现 KeyStoreException: KeyStore not initialized → 检查是否在 UI 线程调用 KeyStore.load(null)（必须异步）。
• 稳定性：使用 security-crypto 库时，确保 MasterKey.Builder 每次声明相同的算法参数，否则解密已加密数据会失败。
• 性能优化：硬件 KeyStore 操作（如 RSA 签名）在低端设备上可能耗时 200ms+，建议在 Dispatchers.IO 协程或 AsyncTask 中执行。