签名jar文件时，签名文件（*.SF）的用途是什么？

Question

正如我从https://docs.oracle.com/javase/tutorial/deployment/jar/intro.html了解到的，使用jarsigner签署jar文件的过程如下：

>

清单文件用每个文件的哈希列表更新：

名称： com/qark/util/files/diff/用户界面/main/DiffMergeFrame.classSHA-256-Digest： GZgPXG9YnmVGXb hFwnJF4im4hb/qixX2Gs ZNpdGFU=

名称：com/qarks/util/ui/swing/PrintManager。SHA-256类摘要：cO6XolXrk5NlHBocDF0fzojlwSAKlDoGsY/jdJ0fzdY=

签名文件（*. SF）已创建。它包含：

• 清单文件哈希
• 清单文件中主要属性的哈希
• 清单文件中每个文件的哈希值

将创建签名块文件（*.RSA，*.DSA）。它存储*的数字签名。SF签名文件。

所以，我想知道为什么我们需要*. SF-为什么我们不能只签署一个清单文件，而不是*. SF文件？

还有，在*中设置哈希的目的是什么。SF文件（附加检查？在什么情况下？）？

Answer 1

签名文件（.SF）表示的签名者。jar文件-从技术上讲，可以有多个。

要回答第二个问题，请想象一个案例，其中a。jar文件在签名后被修改。清单文件会被更改，因此会更改中的哈希。SF（摘要清单）将不再与当前的SF（摘要清单）匹配。清单文件。

但是，如果只将新文件添加到<代码>。jar仍然会通过验证，因为验证算法（除其他外）会查看中的每个条目。SF，并根据清单中的相应条目验证哈希值（清单中的新条目将被忽略）。

总之，。SF用于验证中没有任何文件。jar在签名时已更改。

您可以在此处阅读有关签名验证的更多信息。