android - 安全购买溢价 IAP

Question

我有一个应用程序，我只想使用 google pay 进行 1 次非消耗性升级，我使用下面的代码来获取我的 google play 购买状态

override fun onPurchasesUpdated(
    billingResult: BillingResult?,
    purchases: MutableList<Purchase>?
) {
    if (billingResult?.responseCode == BillingClient.BillingResponseCode.OK && purchases != null) {
        for (purchase in purchases) { 
            handlePurchase(purchase) 
            // set user preference bool value if status is purchased 
        }
    } 
}

并将 bool 首选项设置为 true 以隐藏广告，来自 google here

https://developer.android.com/google/play/billing/billing_library_overview

在部分 Verify a purchase他们说

Note: It's highly recommended to verify purchase details using a secure backend server that you trust. When a server isn’t an option, you can perform less-secure validation within your app.

我的问题是

这是一种通常的做法，还是我应该使用服务器从逆向工程中进行验证，如果是这样，服务器不会也发生这种情况吗？

Answer 1

Is that a usual practice or I should use a server to verify from reverse engineering?

这是一个很好的做法，但不是通常的做法。

我的意思是不是每个人都能买得起私有(private)服务器。有时你有一个离线应用程序，你提供应用程序内购买只是为了解锁一些其他功能，你不想仅仅为了它而陷入拥有私有(private)服务器的麻烦。这取决于:

您的应用程序在成千上万的 DAU 中非常受欢迎吗？

您是否正在解锁一些真正有用的功能，如果 1% 的用户使用您的应用程序的修改版本，这真的可以证明服务器成本是合理的？大多数时候它没有。

and if so Wouldn't that happen also with the server?

是的，它可以，服务器只是另一个安全层。

我建议使用 NDK 隐藏你的公钥，这更难逆向工程，你应该很安全。

你可以找到教程 here