确认APK签名需用keytool查keystore的SHA1、apksigner verify查APK实际签名（须JDK 8），或adb pull已安装APK后验证；HBuilderX云打包填错证书四要素会导致签名缺失，离线打包则需注意路径、signingConfig显式指定及JDK版本兼容性。
签名不匹配不是配置没填，而是 keystore、alias、password、keyPassword 四者中任一环节与已安装旧版 APK 的签名对不上——Android 系统会直接拒绝安装，报 INSTALL_FAILED_UPDATE_INCOMPATIBLE 或 INSTALL_PARSE_FAILED_NO_CERTIFICATES。
怎么确认当前 APK 用的什么签名？
别猜，直接从已安装的 APK（或上一个能正常更新的包）里抽签名信息：
- 用
keytool -list -v -keystore your_app.keystore -alias your_alias查你本地 keystore 的 SHA1 - 用
apksigner verify --verbose your_app.apk查 APK 实际签名（注意：必须用 JDK 8 的apksigner，JDK 11+ 会误报 v2 签名无效） - 如果只有已安装的旧版 APP，可先用
adb shell pm path your.package.name找到 APK 路径，再adb pull下来验证
HBuilderX 云打包时 signature 配置项填错的典型表现
云打包界面里「证书文件」、「证书密码」、「别名」、「别名密码」四栏，任意一项和 keystore 实际内容不符，都会导致生成的 APK 缺失 v1/v2 签名块：
- 「证书文件」上传了
.jks却填了.keystore后缀名（或反过来），HBuilderX 不报错但静默跳过签名 - 「别名」大小写错误（如填了
myapp，实际是MyApp），keytool -list能查到，但云打包构建时读取失败 - 「证书密码」和「别名密码」混淆（尤其当两者不同时），会导致
java.security.UnrecoverableKeyException，最终 fallback 到 debug 签名
离线打包时 signingConfigs 配置失效的三个硬坑
在 Android Studio 离线打包中，build.gradle 里的 signingConfigs 很容易被 Gradle 版本或路径写法绕过去：
-
storeFile file("../app/your.keystore")—— 相对路径在云构建或 CI 中会崩，必须用绝对路径或file("$rootDir/app/your.keystore") - 没显式在
buildTypes.release中指定signingConfig signingConfigs.release，AGP 默认不签名 - JDK 版本不对（Android Studio 2022+ 默认用 JDK 11），但
apksigner和keytool对 JDK 8 兼容性最好，JDK 11 下keytool -list可能漏显示 SHA256，造成指纹比对误判
最常被忽略的一点：微信/QQ 登录、推送、地图等 SDK 都在运行时校验签名，它们读的是 APK 安装后系统返回的签名指纹——不是你 keytool 里看到的原始 keystore 指纹，而是从已安装 APK 里实时提取的。所以哪怕配置全对，只要新包没用同一个 keystore 重签，旧设备上就必然触发 40029 或闪退。
