如何验证Android客户端提交的设备名称与型号未被篡改（PHP服务端）

针对你提出的「Android登录时发送设备名称/型号，PHP服务端如何验证其未被篡改」的需求，以下是几个务实的实现思路——需要明确的是：客户端属于不可信环境，不存在100%杜绝篡改的方案，但可以通过技术手段大幅提高篡改成本，满足「向账号所有者展示登录设备信息」的业务目标。

1. 客户端签名+服务端验签 #

核心思路是：客户端将设备信息用App的私有密钥做签名，服务端用对应的公钥验证签名有效性，确保信息未被篡改。

客户端实现（Android） #

从系统中获取设备核心信息（比如品牌、型号、系统指纹等），组合成字符串后用RSA或ECDSA算法签名：

// 获取设备信息
String deviceInfo = Build.BRAND + "|" + Build.MODEL + "|" + Build.FINGERPRINT;

// 用App签名密钥对信息签名（建议把签名逻辑放在安全的地方，比如Native层）
PrivateKey privateKey = getAppSigningPrivateKey(); // 从安全存储中获取私有密钥
Signature signature = Signature.getInstance("SHA256withRSA");
signature.initSign(privateKey);
signature.update(deviceInfo.getBytes(StandardCharsets.UTF_8));
byte[] signedBytes = signature.sign();
String signatureStr = Base64.encodeToString(signedBytes, Base64.DEFAULT);

// 登录时将deviceInfo和signatureStr一起发送给服务端

服务端实现（PHP） #

预先存储App对应的公钥，收到请求后验证签名：

// 从请求中获取设备信息和签名
$deviceInfo = $_POST['device_info'];
$signatureStr = $_POST['signature'];

// 加载预存的公钥
$publicKey = openssl_pkey_get_public(file_get_contents('app_public_key.pem'));

// 验证签名
$verified = openssl_verify(
    $deviceInfo,
    base64_decode($signatureStr),
    $publicKey,
    OPENSSL_ALGO_SHA256
);

if ($verified === 1) {
    // 签名有效，设备信息未被篡改，可存入数据库
} else {
    // 签名无效，标记为「未知设备」或拒绝存储原始信息
}

注意：私有密钥绝对不能硬编码在客户端代码中，建议放在Android Keystore或Native层，避免被反编译获取。

2. 结合多因子交叉验证 #

如果单纯验证设备信息的成本较高，可以结合登录场景的其他可信因子，降低篡改后的信息可信度：

• 同时收集登录IP、User-Agent、地理位置信息，和设备信息绑定存储
• 当异常登录发生时，向用户展示「设备型号+IP+位置」的组合信息，即使设备信息被篡改，用户也能通过IP/位置识别出异常
• 若设备信息验签失败，服务端可以统一标记为「未知设备」，提醒用户警惕

3. 利用官方完整性验证服务 #

如果你的App面向全球用户（或国内可访问Google服务的场景），可以使用Google Play Integrity API：

• 客户端调用API获取包含设备信息的验证令牌
• 服务端将令牌发送到Google服务器验证，获取设备的合法信息（包括型号、品牌等）
• 验证通过后，用官方返回的设备信息存入数据库，完全避免客户端篡改的风险

不过这个方案依赖Google服务，国内用户可能无法正常使用，需要根据业务场景评估。

内容的提问来源于stack exchange，提问作者Taha Sami