如何用Device Check标记黑客？无token时如何标记恶意iOS设备？

一、如何用Device Check标记黑客/恶意设备 #

其实流程挺清晰的，核心是结合Apple的Device Check服务和你的后端逻辑：

• 第一步，先在Apple开发者后台搞定Device Check的配置：生成对应的认证密钥（Auth Key），并把密钥信息同步到你的后端服务，这是调用Apple API的前提。
• 当用户设备发起请求时，你的iOS app要通过DeviceCheck框架生成对应的token，然后把这个token随请求一起发送给后端。
• 后端拿到token后，调用Apple的Device Check API（updateDeviceCheckToken接口），把该设备的自定义标记位（Apple提供了bit0和bit1两个可自由使用的位）设为1——比如用bit0标记“恶意设备”。
• 后续这个设备再发请求时，后端先调用queryDeviceCheckToken接口查询标记状态，一旦发现bit0是1，直接拒绝请求或者触发其他风控措施就行。

小提醒：Device Check的token有效期是7天，所以如果需要长期标记，记得定期更新标记状态；另外要确保app端正确集成框架，iOS 11及以上才支持这个功能哦。

二、对付故意阻止token发送的恶意用户 #

这种情况确实头疼，毕竟常规路径拿不到token，没法直接用Device Check标记。分享几个实用的思路：

• 用App Attest补位（iOS 14+）：如果你的app支持iOS 14及以上，试试集成App Attest服务。它不仅能生成验证token，还能校验app的完整性——要是恶意用户篡改app阻止token发送，App Attest的验证会直接失败，后端可以直接拒绝请求。同时你可以结合其他设备指纹（比如硬件型号、系统版本、IP等）把这个设备加入后端黑名单，就算没法用Device Check标记，也能拦截恶意行为。
• 收集辅助设备标识建立风险名单：就算没有Device Check token，也可以收集一些合规的设备特征（比如ATT框架下用户授权的IDFA、设备型号、系统版本、网络IP，或者app安装时生成的唯一标识符）。当这些特征多次关联恶意行为时，直接把它们加入后端的风险名单，后续只要匹配到这些特征，不管有没有token，都能拒绝请求。
• 设计无感知的token触发场景：搞一些低敏感度的交互，诱导app悄悄发送token。比如用户进入“设置”页面、“帮助中心”或者领取小福利的时候，app在后台触发Device Check token的获取和发送操作——这个过程用户完全没感知，还能拿到你需要的标记信息，避免引起恶意用户的警觉。
• 结合越狱检测：很多恶意用户用越狱设备搞事情，你可以在app里加个越狱检测逻辑。一旦检测到设备越狱，要么触发备用的token发送路径（可能绕过用户的拦截），要么直接拒绝服务，同时把该设备的硬件信息上报后端加入黑名单。

内容的提问来源于stack exchange，提问作者Hamoonist