基于Google Play正版购买的Android应用激活及服务器端令牌存储咨询

完全可以通过Google Play的官方机制实现你的需求，核心是依托Google Play Billing Library和后端购买凭证验证，确保只有正版付费用户的令牌能被后端认可，彻底阻断伪造安装带来的损失。

具体实现步骤 #

• 生成本地唯一令牌：应用首次启动时，用SecureRandom生成128位随机令牌，存储到应用私有存储（如SharedPreferences或Room数据库），保证每个安装实例唯一，且仅本应用可访问。
• 获取购买凭证并提交后端：用户完成付费应用购买后，通过Billing Library获取购买凭证（Purchase Token）和订单ID，将这两个参数与本地令牌一起发送到你的后端服务器。
• 后端验证购买合法性：后端调用Google Play Developer API的验证接口，传入应用包名、产品ID、购买凭证，向Google Play确认：
  • 购买状态是否为PURCHASED
  • 购买的产品是否为你的付费应用本身
  • （可选）验证购买关联的用户账号有效性
    只有当Google Play返回购买合法的结果后，后端才将该本地令牌标记为“已激活”并存储。
• 服务请求验证：用户后续请求服务时携带本地令牌，后端先检查令牌是否在已激活列表中，再提供对应服务。

关键安全要点 #

• 所有购买合法性验证必须放在后端，绝对不能在客户端做判断，避免黑客逆向篡改客户端逻辑。
• 后端调用Google Play API时，使用服务账号密钥做身份验证，防止第三方伪造验证请求。
• 本地令牌建议加密后存储，进一步提升篡改难度。
• 可定期让后端重新验证已激活令牌对应的购买状态，防止用户退款后仍能使用服务。

这种方案能有效阻止伪造安装的情况：黑客即使生成假令牌，也无法获取Google Play颁发的合法购买凭证，后端验证会直接拒绝请求；只有真正付费的用户，才能通过Google Play拿到合法凭证，进而激活自己的令牌。

内容的提问来源于stack exchange，提问作者porton