java - 在应用计费和替换公钥中。这有什么大不了的？

Question

就应用计费而言，Google 的文档指出:

To keep your public key safe from malicious users and hackers, do not embed it in any code as a literal string. Instead, construct the string at runtime from pieces or use bit manipulation (for example, XOR with some other string) to hide the actual key. The key itself is not secret information, but you do not want to make it easy for a hacker or malicious user to replace the public key with another key.

但验证过程是调用存储私钥的谷歌服务器，如果他们更换 key 怎么办？它无论如何都会被谷歌服务器的调用拒绝

或者这是否意味着破解者也修改了 apks 代码并且还用对他们的私有(private)服务器的调用替换了对谷歌服务器的调用？如果是这样，那么让公钥可见是最不重要的问题。

我错过了什么？

Answer 1

公钥(或许可证 key )用于从 INAPP_PURCHASE_DATA JSON 对象创建 INAPP_DATA_SIGNATURE。

智能 IAP/IAB 破解者可以使用自己的私钥创建自己的 INAPP_DATA_SIGNATURE。如果您的公钥在应用程序中是硬编码和未混淆的，它可能能够用自己的公钥替换它，从而使任何客户端验证都能返回真值。

当然，任何服务器端验证仍然会失败，Google Play Developer API 甚至无法识别购买 token 。但谷歌声明的重点是强调仅客户端验证的危险和攻击媒介。

TL;DR 如果您的应用完全依赖于客户端验证，那么它可能会面临潜在的 IAP 欺诈。