Flutter非消耗型内购是否无需后端即可完成购买验证？

可以无需后端验证 #

完全能只靠in_app_purchase包的queryPastPurchases()实现付费状态判断：

• 每次应用启动或进入付费功能入口时调用该方法，拉取用户的历史购买记录
• 检查返回列表里是否包含你的非消耗型内购商品ID，以此判定用户是否解锁付费版

你的逻辑存在的潜在漏洞 #

虽然基础场景下能用，但确实有风险：

• 本地数据篡改：如果用户通过修改你本地存储的付费状态标记（比如SharedPreferences里的字段），能直接绕过购买验证
• 虚假购买记录：极端情况，用户可能使用篡改过的应用商店客户端，让queryPastPurchases()返回虚假的已购结果
• 后续扩展隐患：如果之后给付费功能加了时间相关逻辑，时钟回拨的问题就会显现，虽然当前非消耗型影响不大，但留了隐患

要不要做后端验证的建议 #

作为副业小项目，暂时跳过后端验证完全合理：

• 省掉服务器成本和后端开发时间，专注于核心功能迭代
• 用户量小的情况下，恶意破解的概率极低，收益损失可以忽略
• 等后续用户规模上来、收益稳定后，再补后端验证也来得及

但如果有以下情况，建议尽早接入后端：

• 需要精准统计购买数据、分析用户付费行为
• 担心大规模恶意破解导致明显的收益损失
• 需要处理应用商店的退款、纠纷等复杂事件（非消耗型内购的退款也可能需要后端同步状态）

内容的提问来源于stack exchange，提问作者ForestG