调试Google Play Integrity DecodeIntegrityToken API遇400错误求助

正确参数配置要点 #

• 包名严格匹配：packageName必须与Google Play Console中应用的包名完全一致，包括大小写、特殊字符，不能有任何拼写错误。
• 令牌完整未修改：integrityToken必须是客户端通过IntegrityManager.requestIntegrityToken()获取的完整原始字符串，不能截断、转义或修改任何字符，若通过网络传输需确保无编码异常（如URL编码导致的字符变更）。
• 服务账号权限补充：除已配置的权限外，需为服务账号添加roles/playintegrity.tokenDecoder角色（对应playintegrity.decodes权限），仅Service Account User和Service Usage Consumer权限不足以完成令牌解码。

下一步调试方向 #

1. 用Play Console工具验证令牌有效性
   登录Google Play Console，进入应用的「App Integrity」模块，使用「Integrity Token Tester」输入令牌和包名直接解码。若工具返回错误，说明令牌本身无效，需排查客户端获取逻辑：

   • 客户端请求令牌时的nonce是否与服务器生成的一致
   • 客户端是否使用了正确的包名
   • 应用是否已在Play Console启用Play Integrity API并关联正确的Cloud项目
   • 令牌是否已过期（有效期仅10分钟）

2. 直接用curl测试API调用
   绕过代码，用curl验证权限和参数是否正确：

   curl -X POST \
     "https://playintegrity.googleapis.com/v1/com.myapp.package:decodeIntegrityToken" \
     -H "Authorization: Bearer $(gcloud auth application-default print-access-token)" \
     -H "Content-Type: application/json" \
     -d '{
       "integrityToken": "superLongString"
     }'
   

   • 若curl调用成功，说明代码中服务对象初始化存在问题，需检查service实例的创建逻辑
   • 若curl仍返回400，继续检查权限配置或令牌有效性

3. 验证凭据配置
   确认GOOGLE_APPLICATION_CREDENTIALS环境变量指向的服务账号JSON文件完整、未被修改，可通过以下命令测试是否能获取有效访问令牌：

   gcloud auth application-default print-access-token
   

   若命令返回错误，说明凭据配置有误，需重新导出服务账号JSON文件并设置环境变量

内容的提问来源于stack exchange，提问作者jc43