Android - 通过服务器端验证保护应用内购买

Question

我是 Android 开发新手，但创建了一个应用程序，并实现了应用程序内购买以从应用程序中删除广告。我只是做了一个非常基本的实现，我基本上检查用户是否购买了“no_ads”项目，如果是真的，则不会显示广告。问题是我看到很多“购买”记录在 firebase 上，而 Play 控制台上没有记录，这当然意味着我的用户正在使用这些黑客应用程序。所以我的问题是，如何在服务器上保护/验证这些购买，以便这些 haking 应用程序毫无用处？我已经有一个我的应用程序使用的服务器，因此为我实现任何服务器端代码都没有问题。如果有人能给我指点教程，那就太好了。谢谢

Answer 1

我为减少应用内购买欺诈行为做出的小小的贡献

在外部服务器上对您的 Android 代码进行签名验证：

verifySignatureOnServer()

  private boolean verifySignatureOnServer(String data, String signature) {
        String retFromServer = "";
        URL url;
        HttpsURLConnection urlConnection = null;
        try {
            String urlStr = "https://www.example.com/verify.php?data=" + URLEncoder.encode(data, "UTF-8") + "&signature=" + URLEncoder.encode(signature, "UTF-8");

            url = new URL(urlStr);
            urlConnection = (HttpsURLConnection) url.openConnection();
            InputStream in = urlConnection.getInputStream();
            InputStreamReader inRead = new InputStreamReader(in);
            retFromServer = convertStreamToString(inRead);

        } catch (IOException e) {
            e.printStackTrace();
        } finally {
            if (urlConnection != null) {
                urlConnection.disconnect();
            }
        }

        return retFromServer.equals("good");
    }

convertStreamToString()

 private static String convertStreamToString(java.io.InputStreamReader is) {
        java.util.Scanner s = new java.util.Scanner(is).useDelimiter("\\A");
        return s.hasNext() ? s.next() : "";
    }

verify.php位于虚拟主机的根目录下

<?php
// get data param
$data = $_GET['data'];

// get signature param
$signature = $_GET['signature'];

// get key
$key_64 = ".... put here the base64 encoded pub key from google play console , all in one row !! ....";



$key =  "-----BEGIN PUBLIC KEY-----\n".
        chunk_split($key_64, 64,"\n").
       '-----END PUBLIC KEY-----';   
//using PHP to create an RSA key
$key = openssl_get_publickey($key);


// state whether signature is okay or not
$ok = openssl_verify($data, base64_decode($signature), $key, OPENSSL_ALGO_SHA1);
if ($ok == 1) {
    echo "good";
} elseif ($ok == 0) {
    echo "bad";
} else {
    die ("fault, error checking signature");
}

// free the key from memory
openssl_free_key($key);

?>

注意事项：

• 您应该对您的java代码中的URL进行加密，如果没有，可以通过在解压缩的应用程序apk中进行简单的文本搜索来轻松找到该URL

• 最好更改 php 文件名、url 参数、对没有意义的内容的好/坏响应。

• verifySignatureOnServer() 应在单独的线程中运行，如果主线程上没有网络，则会抛出异常。另一种选择是使用 Volley。

应用内结算库更新

使用库，

Purchase.getOriginalJson()

返回需要验证的数据，

Purchase.getSignature()

签名

希望它会有所帮助...

Answer 2

1. 用户进行应用内购买时在数据库中添加条目。
2. 当用户打开您的应用程序时检查购买是否有效。
3. 如果有效，则继续下一个活动，否则显示错误消息。

Answer 3

我认为当前实现中等安全级别的最佳方法（这不是好梦）是使用 Google 应用程序许可指南，但添加 服务器端许可证验证 选项，如下所述官方文件。