1. Android Keystore 体系与核心概念

1.1 整体架构层次

Android Keystore 是一套硬件背书的密钥管理基础设施，它允许应用在保证密钥材料不离开安全硬件的前提下执行加密、签名和认证操作。整个体系可划分为五个层次：

1. 应用层：通过标准 JCA（Java Cryptography Architecture）接口调用 KeyStore 和 KeyGenerator API。
2. 框架层（Framework）：AndroidKeyStore Provider 将请求路由给系统服务 keystore。
3. 系统服务层：运行在系统进程中的 keystore 守护进程，负责权限校验与策略管理。
4. 硬件抽象层（HAL）：通过 keymaster HAL 接口与底层安全硬件通信。
5. 安全执行环境：TEE（如 TrustZone）或独立 SE（eSE/SIM），执行实际的密钥生成与加解密。

1.2 Android Keystore 架构图

下面的结构图展示了密钥操作从应用请求到硬件执行的全部路径：

1.3 硬件隔离与安全元件

Android Keystore 的硬件隔离能力依赖两类安全执行环境：

1.4 KeyStore Provider 的作用

Android 通过 AndroidKeyStore Provider 将 JCA 标准接口桥接到底层安全硬件。该 Provider 在 Android 启动时自动注册，其核心职责包括：

• 密钥生成路由：将 KeyGenerator.getInstance("AES", "AndroidKeyStore") 的调用转交给 keystore 服务。
• 权限审计：验证调用方应用的 UID 和包名是否有权限访问指定密钥别名。
• 密钥使用授权：强制检查 KeyGenParameterSpec 中设置的用途（仅签名、仅加密等），防止滥用。
• 安全策略执行：例如要求用户认证（指纹/锁屏）后才能使用密钥。

1.5 核心 API 示例

获取 AndroidKeyStore 实例并生成一个 AES 密钥的典型代码：

// 获取 AndroidKeyStore Provider 实例
KeyStore keyStore = KeyStore.getInstance("AndroidKeyStore");
keyStore.load(null); // 初始化

// 生成 AES 密钥（需要 API 23+）
KeyGenerator keyGenerator = KeyGenerator.getInstance(
        KeyProperties.KEY_ALGORITHM_AES, "AndroidKeyStore");

KeyGenParameterSpec.Builder builder = new KeyGenParameterSpec.Builder(
        "my_aes_key_1",
        KeyProperties.PURPOSE_ENCRYPT | KeyProperties.PURPOSE_DECRYPT)
    .setBlockModes(KeyProperties.BLOCK_MODE_GCM)
    .setEncryptionPaddings(KeyProperties.ENCRYPTION_PADDING_NONE)
    .setKeySize(256)
    .setIsStrongBoxBacked(true); // 可选，强制使用 StrongBox

keyGenerator.init(builder.build());
keyGenerator.generateKey(); // 密钥实际在 TEE/SE 中生成

1.6 常见错误与稳定性注意