android - 如何确保 Android 应用程序真的是从所述源代码编译的？

Question

很多 Android 应用程序都是开源的，但我们如何确保最终上传到 Google Market 的人在上传之前不包含一些间谍软件？

背景：移动应用程序的安全性似乎越来越受到关注，我想向我的开源 Android 应用程序的用户保证。需要修改部署过程或应用程序内容的解决方案也是可以接受的。

2012 年更新：这是正确的方向： http: //f-droid.org/他们检查应用程序并将它们编译成他们分发的 APK。话虽如此，如果他们是 Mozilla 或 Apache，我会更信任他们……

Answer 1

查看https://stackoverflow.com/questions/249106/how-can-you-give-users-confidence-that-your-application-has-no-malicious-intent了解一些相关信息。

您当然可以获取源代码并自己构建/编译它，并将生成的二进制文件与上传的二进制文件进行比较，但这在某种程度上违背了二进制分发的目的。如果源代码确实包含恶意代码，它仍然无济于事。或者可能构建一个安全的，即受信任的参考二进制文件，然后发布校验和进行比较？

除此之外，这个问题确实不是特定于开源软件的。最后，这一切都归结为信任。