android - 许多购买的 Google IAP 验证都失败了

Question

我在 Android 应用程序中使用 Google IAP v3。我已经使用 GoogleIabHelper 类实现了签名检查。我还使用几乎相同的代码在服务器端检查签名。

在服务器日志中，我发现很多购买都是无效的。以下是 2 次有效购买和 1 次无效购买的示例数据:

有效购买

#1
orderId:         12399363269014736759.1358132323863451
purchaseTime:    1416079768157
purchaseToken:   olcgkklnpigiceancikanedj.AO-J1O...
dataSignature matches: yes
response from androidpublisher API: purchaseTimeMillis = 1416079768157, purchaseState = 0

#2
orderId:         12399363269014736759.1311230454123912
purchaseTime:    1415844666976
purchaseToken:   ajkaitpnfgotgkmhlboatkmc.AO-J1O...
dataSignature matches: yes
response from androidpublisher API: purchaseTimeMillis = 1415844666976, purchaseState = 0

无效购买

orderId:         6246434551497330082
purchaseTime:    1415813103372
purchaseToken:   xdavcuvdnniwwrhwemleqjdz.rSQozm...
dataSignature matches: no
response from androidpublisher API: "code": 400, "message": "Invalid Value"

如您所见，两次有效购买的数据看起来很相似。 dataSignatures 都是正确的，androidpublisher API 返回这些购买的有效数据。

现在看看无效购买:

• orderId 与有效购买的模式不匹配
• purchaseTime 是过去的时间(2014 年 11 月 12 日星期三 18:25:03 GMT+0100 (CET))，即使购买是在今天进行的
• purchaseToken前缀在.之后是不同的(点)
• dataSignature 不匹配
• androidpublisher API 返回无效值

很确定这是无效购买，对吗？每天这样购买 2-4 次怎么样？我想知道 IAP 欺诈是真正的问题还是我的代码和 IAP 验证有问题。有人可以分享他们使用 Google IAP v3 进行无效购买的经验吗？

Answer 1

深入挖掘后发现有很多方法可以破解 IAP，但良好的购买验证可以防止它(如问题中所示)。

首先，无效购买(全部)是在root 设备 上进行的。我还询问了一些用户关于他们的购买情况，其中一位同意他正在使用一些允许免费购买 IAP 项目的 apk。

结论:代码一切正常，您的用户出了点问题。