如何保护付费APK防分享？非谷歌商店APK绑定设备实现单设备运行

一、通用APK防分享基础防护 #

先做好基础反逆向、反重打包工作，提升攻击者破解成本：

• 代码混淆：启用ProGuard/R8混淆，在proguard-rules.pro中保留Activity、Service等必要组件和JNI方法，混淆类名、方法名及变量名，增加逆向分析难度。
• 签名校验：应用启动时校验APK的签名哈希值，与预先保存的合法签名哈希对比，不匹配则直接终止应用，防止攻击者重打包替换签名。
• 反调试检测：通过Debug.isDebuggerConnected()检测调试器，或检查进程调试端口，一旦发现调试状态立即退出应用；还可结合ptrace检测，防范动态调试。
• 关键资源加密：对付费内容、密钥等敏感资源加密存储，运行时再解密使用，避免攻击者直接从APK包中提取核心内容。

二、单设备绑定的具体实现（谷歌商店外场景） #

针对非谷歌商店分发的APK，核心思路是生成合规设备标识 + 后端授权校验，实现单设备运行限制：

1. 生成合规的设备标识 #

避免使用IMEI（Android 10+需特殊权限，普通应用无法获取），推荐以下两种方案：

• Android ID组合哈希：获取Settings.Secure.ANDROID_ID，结合Build.BOARD、Build.MANUFACTURER、Build.MODEL等硬件信息拼接后做SHA-256哈希，生成唯一标识。
• 多硬件信息组合哈希：收集主板型号、制造商、设备型号、CPU序列号等稳定硬件参数，拼接后哈希，降低单一参数变化的影响。

示例代码（Java）：

import android.os.Build;
import android.provider.Settings;
import java.security.MessageDigest;
import java.security.NoSuchAlgorithmException;
import java.nio.charset.StandardCharsets;

private String getUniqueDeviceId() {
    // 收集多维度硬件/系统信息
    StringBuilder infoBuilder = new StringBuilder();
    infoBuilder.append(Settings.Secure.getString(getContentResolver(), Settings.Secure.ANDROID_ID));
    infoBuilder.append(Build.BOARD);
    infoBuilder.append(Build.MANUFACTURER);
    infoBuilder.append(Build.MODEL);
    infoBuilder.append(Build.SERIAL);

    try {
        // 生成SHA-256哈希
        MessageDigest digest = MessageDigest.getInstance("SHA-256");
        byte[] hashBytes = digest.digest(infoBuilder.toString().getBytes(StandardCharsets.UTF_8));
        StringBuilder hexId = new StringBuilder();
        for (byte b : hashBytes) {
            String hex = Integer.toHexString(0xff & b);
            if (hex.length() == 1) hexId.append('0');
            hexId.append(hex);
        }
        return hexId.toString();
    } catch (NoSuchAlgorithmException e) {
        e.printStackTrace();
        return null;
    }
}

2. 后端绑定与校验逻辑 #

• 用户完成付费后，将生成的设备标识发送到你的后端服务器，服务器将该标识与用户订单绑定并存储到数据库。
• 应用每次启动时，生成当前设备标识并发送到后端校验：
  • 若后端确认标识已绑定有效订单，允许应用正常运行；
  • 若标识未授权或已解绑，弹出提示并终止应用。

3. 本地缓存与定期校验 #

• 首次校验通过后，用EncryptedSharedPreferences加密存储授权状态和设备标识，避免明文泄露。
• 不要仅依赖本地缓存，定期（如每日一次或每次启动）向后端重新校验，防止攻击者篡改本地数据绕过校验。

三、关键注意事项 #

• 设备标识稳定性：没有绝对不变的设备标识，Android ID会在恢复出厂设置后改变，硬件信息也可能在少数设备上重复。后端需支持用户在合理范围内更换设备（如限制每月1次），兼顾安全性和用户体验。
• 权限合规：避免申请READ_PHONE_STATE等敏感权限，防止被用户拒绝或违反隐私法规。
• 反破解加固：设备绑定逻辑要结合代码混淆、反调试，可将核心校验逻辑放到JNI层，提升逆向难度。
• 隐私合规：收集设备标识前需告知用户用途并获得同意，符合GDPR、CCPA等地区隐私法规要求。

内容的提问来源于stack exchange，提问作者Zaki