验证是否已根据给定的源代码构建了APK

对于同一个应用程序，我有：

• 来自应用商店的APK，
• 声称是同一版本的源代码。使用一个非常普通的Gradle构建脚本和结构。

我想检查APK是否真的是从该源代码构建的。
如何检查？

笔记：

• APK不会被混淆。
• 我没有理由相信任何人的签名。我只相信源代码。
• 我已经为自己创建了应用程序，但是现在我想知道APK是否正常。
• 最好使用Linux命令行工具，但是任何工具都可以。

您只能使用可复制的版本进行此操作 ：

“如果给定相同的源代码，构建环境和构建指令，则构建是可复制的，任何一方都可以重新创建所有指定工件的逐位相同副本。”

因此，应用程序开发人员或应用程序商店需要加入才能正常工作。
否则，您唯一的选择是自己构建。

当前正在执行此操作的开发人员的一个示例是Open Whisper Systems：https： //github.com/WhisperSystems/Signal-Android/wiki/Reproducible-Builds

关于Java和APK的一大优点是您可以将APK完全反编译为Java源代码。

但是，不能保证最终的源代码是相同的。

尝试将生成的源代码与已知修订进行匹配的一种好方法是，检查在存储库中的已知提交之前和之后直接进行了哪些修改，并查看反编译源中是否也存在这些修改。

要反编译，请使用dex2jar和JD-Gui。

编辑我刚刚注意到您想要Linux工具。我唯一的经验是使用Windows，但是我确信Linux也存在类似的工具。