如何实现安卓APK应用仅可在单台设备上授权使用？

你的核心需求是离线分发APK、单设备绑定、季度/年度订阅，你提到的「设备特征码+离线解锁密钥」的思路就是当前场景下实现成本最低的方案，仅需做少量优化即可落地：

方案1：离线特征码+对称加密密钥（最简实现，零服务端成本） #

• 调整特征码生成逻辑，避免仅用安装时间容易被伪造的问题：安卓10及以上无法获取IMEI、MAC等固定硬件标识，可组合以下可稳定获取的参数计算SHA256哈希作为唯一设备特征码：
  • Settings.Secure.ANDROID_ID：同一应用在同一设备上获取的值固定，仅重置设备才会变更
  • 应用首次启动时生成、存储在私有目录的UUID：仅用户卸载重装才会变更
  • 基础硬件信息拼接（CPU核心数、屏幕分辨率、设备型号）：降低ANDROID_ID被篡改后的伪造风险
• 密钥生成本地完成即可，不需要搭建在线服务：
  • 你本地准备一个仅自己知晓的AES密钥，拿到用户提供的设备特征码后，将「特征码+订阅到期时间戳」拼接后做AES加密，生成的字符串就是解锁密钥直接发给用户
  • 应用端拿到用户输入的解锁密钥后，用相同的AES密钥解密，先校验解密得到的特征码是否和当前设备特征码完全一致，再校验到期时间戳是否大于当前系统时间，两项校验都通过即可解锁全功能
• 增加本地防篡改逻辑：将校验通过的到期时间、特征码存储在应用私有目录时，同步生成签名串，每次启动应用时先校验存储内容和签名是否匹配，避免root用户直接修改本地存储的到期时间伪造授权

方案2：其他可选实现思路 #

如果能接受少量额外开发量，可以选择灵活度更高的方案：

• 轻量在线授权服务
  • 搭建极简HTTP接口，服务端仅存激活码、绑定设备特征码、订阅到期时间三个核心字段
  • 用户输入激活码时，应用将当前设备特征码和激活码一起上传校验，首次校验通过后直接把激活码和当前设备绑定，后续其他设备用同一激活码请求直接返回校验失败
  • 优势是支持远程拉黑盗版激活码、用户更换设备时可后台手动解绑，适配订阅到期后续费的场景更方便
• 激活码首次启动绑定
  • 提前批量生成激活码存储在本地，用户购买后直接发激活码，应用首次启动时强制要求输入激活码，输入后直接把激活码和当前设备特征码绑定存在本地
  • 订阅到期前弹窗提示用户续费获取新的激活码重新激活即可，实现逻辑比第一种方案更简单，缺点是激活码如果泄露容易被多设备绑定，适合用户群体小的场景
• 谷歌Play许可验证库（LVL）适配
  • 如果你的用户群体以海外为主，普遍装有谷歌服务框架，可以直接接入谷歌官方的许可验证库，自带订阅管理、设备绑定逻辑，不需要自己开发授权校验功能，仅需适配LVL的接口即可

内容的提问来源于stack exchange，提问作者votopec