如何阻止用户从Google Play以外渠道安装Flutter开发的Android应用？

可行性说明 #

这个需求可行，但无法做到100%拦截所有非官方渠道的安装（毕竟存在APK破解、重打包的可能性），不过通过以下手段可以大幅降低非Google Play渠道的安装量，满足你的核心需求。

具体实现方案 #

1. 检查应用安装来源

在Android原生代码中，获取应用的安装来源包名，验证是否为Google Play官方渠道（包名：com.android.vending）。如果不是，直接终止应用运行。

在Flutter项目的android/app/src/main/java/[你的包名]/MainActivity.java中添加逻辑：

import android.content.pm.PackageManager;
import android.content.pm.InstallSourceInfo;
import android.os.Build;
import android.widget.Toast;
import androidx.annotation.NonNull;
import io.flutter.embedding.android.FlutterActivity;

public class MainActivity extends FlutterActivity {
    @Override
    protected void onStart() {
        super.onStart();
        checkInstallSource();
    }

    private void checkInstallSource() {
        String installSource = "";
        if (Build.VERSION.SDK_INT >= Build.VERSION_CODES.R) {
            try {
                InstallSourceInfo sourceInfo = getPackageManager().getInstallSourceInfo(getPackageName());
                installSource = sourceInfo.getInitiatingPackageName();
            } catch (PackageManager.NameNotFoundException e) {
                e.printStackTrace();
            }
        } else {
            // 兼容Android 10及以下版本
            try {
                installSource = getPackageManager().getInstallerPackageName(getPackageName());
            } catch (Exception e) {
                e.printStackTrace();
            }
        }

        // 验证是否来自Google Play
        if (!"com.android.vending".equals(installSource)) {
            Toast.makeText(this, "请通过Google Play安装应用", Toast.LENGTH_LONG).show();
            finishAffinity(); // 关闭所有页面并退出应用
        }
    }
}

2. 使用Google Play Integrity API验证

Google Play Integrity API可以全面验证应用的安装来源、完整性以及运行环境，是官方推荐的防篡改方案。

步骤：

• 在Google Play Console中为应用启用Integrity API
• 在Android项目中添加依赖：implementation "com.google.android.play:integrity:1.2.0"
• 通过MethodChannel在Flutter中调用原生验证逻辑，示例代码（原生部分）：

// 简化示例，需处理异步回调和错误
private void verifyIntegrity() {
    PlayIntegrityManager integrityManager = PlayIntegrityManagerFactory.create(this);
    Task<IntegrityTokenResponse> tokenTask = integrityManager.requestIntegrityToken(
            IntegrityTokenRequest.builder()
                    .setNonce("随机生成的唯一字符串，用于防止重放攻击")
                    .build()
    );

    tokenTask.addOnSuccessListener(response -> {
        String integrityToken = response.token();
        // 将token发送到你的后端服务器，调用Google Play Integrity API进行验证
        // 后端验证通过后，再允许应用继续运行；否则退出
    });

    tokenTask.addOnFailureListener(e -> {
        Toast.makeText(this, "应用验证失败，请通过Google Play安装", Toast.LENGTH_LONG).show();
        finishAffinity();
    });
}

3. 验证应用签名证书

对比当前运行应用的签名哈希值，与Google Play发布时使用的签名哈希值是否一致（注意：需使用Google Play App Signing后的签名，而非本地调试签名）。

示例代码：

private boolean verifyAppSignature() {
    try {
        String expectedHash = "你的Google Play签名哈希值"; // 从Google Play Console获取
        PackageInfo packageInfo = getPackageManager().getPackageInfo(
                getPackageName(), PackageManager.GET_SIGNATURES);
        for (Signature signature : packageInfo.signatures) {
            MessageDigest md = MessageDigest.getInstance("SHA");
            md.update(signature.toByteArray());
            String currentHash = Base64.encodeToString(md.digest(), Base64.DEFAULT).trim();
            if (expectedHash.equals(currentHash)) {
                return true;
            }
        }
    } catch (Exception e) {
        e.printStackTrace();
    }
    return false;
}

// 在onStart中调用
if (!verifyAppSignature()) {
    Toast.makeText(this, "应用验证失败", Toast.LENGTH_LONG).show();
    finishAffinity();
}

注意事项 #

• 以上方法需结合使用，单一方法容易被绕过
• 需处理Android版本兼容性问题（比如InstallSourceInfo仅在Android 11+可用）
• 不要在Flutter层做验证逻辑，因为Flutter代码更容易被反编译和修改
• 后端验证Integrity Token是必要的，避免客户端逻辑被篡改

内容的提问来源于stack exchange，提问作者Mohammad Rabiee Nasri