如何为Android应用实现独立于账号的设备级终身授权？

针对你提出的设备级授权需求，结合Google生态及非系统权限限制，以下是几个可行的落地方案：

1. 稳定硬件指纹方案（无需特殊权限） #

放弃依赖ANDROID_ID或Build.getSerial()，通过组合多个重置设备后不会改变的硬件/系统特征生成设备指纹，作为授权绑定的标识。这些特征无需敏感权限，且稳定性极高。

代码示例：生成稳定指纹 #

import java.security.MessageDigest;
import java.nio.charset.StandardCharsets;

private String generateStableDeviceFingerprint() {
    StringBuilder fingerprintBuilder = new StringBuilder();
    // 组合多个稳定硬件属性
    fingerprintBuilder.append(Build.MANUFACTURER);
    fingerprintBuilder.append(Build.MODEL);
    fingerprintBuilder.append(Build.BOARD); // 主板型号
    fingerprintBuilder.append(Build.HARDWARE); // 硬件名称
    fingerprintBuilder.append(Build.SUPPORTED_ABIS[0]); // CPU架构
    fingerprintBuilder.append(getResources().getConfiguration().screenWidthDp); // 屏幕尺寸
    fingerprintBuilder.append(getResources().getConfiguration().screenHeightDp);

    // 生成SHA-256哈希值作为最终指纹
    try {
        MessageDigest digest = MessageDigest.getInstance("SHA-256");
        byte[] hashBytes = digest.digest(fingerprintBuilder.toString().getBytes(StandardCharsets.UTF_8));
        StringBuilder hexString = new StringBuilder();
        for (byte b : hashBytes) {
            String hex = Integer.toHexString(0xff & b);
            if (hex.length() == 1) hexString.append('0');
            hexString.append(hex);
        }
        return hexString.toString();
    } catch (Exception e) {
        return "fallback_fingerprint_" + System.currentTimeMillis();
    }
}

补充说明 #

• 该指纹并非绝对唯一（极端情况下可能存在硬件完全一致的设备），但概率极低；
• 服务器端需配套容错机制：比如允许用户通过购买订单号申诉，人工验证后更新授权记录。

2. 可消耗内购+订单验证结合方案 #

基于你当前的可消耗内购架构，优化授权逻辑：

1. 用户完成内购后，将**Google Play订单凭证（purchaseToken、orderId）**与上述生成的设备指纹绑定，存储在你的服务器；
2. 设备重置后，用户重新安装应用，发起内购时先调用Google Play Developer API验证订单真实性；
3. 服务器对比订单对应的设备指纹与当前设备指纹，匹配则直接恢复授权，无需用户重复购买。

关键验证逻辑 #

服务器需调用Google Play官方的purchases.products.get接口，传入包名、产品ID和purchaseToken，确认订单已完成且未被恶意篡改。

3. Google Play Licensing 适配方案 #

虽然Licensing默认与Google账号绑定，但可通过自定义逻辑适配设备级授权：

1. 用户首次打开应用时，通过Licensing服务获取userId（Google账号关联的唯一标识）；
2. 服务器将userId与设备指纹绑定，记录授权关系；
3. 设备重置后，用户即使登录不同Google账号，只要设备指纹匹配，服务器即可基于历史绑定记录直接授权。

注意 #

该方案需要用户至少登录一次Google账号完成首次绑定，后续可脱离账号验证设备。

4. 用户自助备份授权密钥方案 #

为完全规避设备标识的不确定性，可采用用户主动备份的方式：

1. 用户购买授权后，应用生成一个唯一的授权密钥，存储在Android Keystore中（防止篡改）；
2. 引导用户将密钥备份到第三方存储（如Google云盘、邮箱）；
3. 设备重置后，用户导入备份的密钥，服务器验证密钥有效性后恢复授权。

核心注意事项 #

• 非系统应用无法获取绝对永久且唯一的设备标识，所有方案需配套人工申诉通道，处理极端情况；
• 严格遵守Google Play政策：禁止收集敏感隐私信息，所有用于生成指纹的属性必须是公开可获取的非敏感数据；
• 可消耗内购的使用需符合Google Play Billing规则，确保每次购买都是用户主动发起，禁止自动重复消耗。

内容的提问来源于stack exchange，提问作者poison pawn