Unity手游对接Google Play内购后如何将虚拟物品展示给玩家

核心前提说明 #

Google Play 的内购体系本身不承担虚拟物品的托管、发放职能，它仅作为支付渠道完成交易扣款、生成可溯源的购买凭证，不会帮你存储玩家的金币、道具这类自定义游戏数据。

可选实现方案 #

1. 带服务端的正规生产方案 #

• Google Play 开放了官方服务端校验API，核心作用是验证客户端上报的购买token真实性，可查询对应交易的SKU、购买状态、是否已完成消耗等信息，从根源上避免客户端伪造支付回调刷道具。
• 标准落地流程为：
  • 客户端收到Google Play的支付成功回调后，不直接处理道具发放，先把购买token、当前登录的用户唯一标识上报到你自建的游戏服务端
  • 服务端调用Google Play校验接口确认该token真实有效、未被重复使用后，给对应用户的账号数据库写入对应道具增量
  • 服务端把更新后的玩家资产数据返回给客户端，客户端直接拉取展示即可
  • 对可消耗型商品（如一次性购买的金币），校验完成发放后需要调用Google Play的消耗接口，将对应token标记为已核销，避免重复触发发放逻辑

2. 无服务端的单机游戏方案 #

• 如果你的产品是无后端的纯单机游戏，完全可以直接用PlayerPrefs、本地二进制存储文件自行记录玩家的道具余额，没有强制要求必须对接服务端。
• 但该方案存在天然局限性：本地存储的数据无防篡改能力，玩家可以通过修改本地文件、内存修改工具直接篡改余额数值，仅适合对资产安全性要求极低的轻量单机产品。
• 就算用纯本地存储，也需要做基础防护，不要无校验直接改数据：
  • 收到支付回调后先缓存对应购买token，对已核销的token做本地记录，避免被hook工具伪造回调重复刷道具
  • 对存储的资产数值做简单的异或混淆、加固定校验位，避免玩家直接打开存储文件就能手动修改数值

常见落地误区 #

• 不要完全信任客户端收到的支付成功回调直接发道具：哪怕官方通道的回调可信度较高，也可能被逆向工具拦截伪造，无校验的发奖逻辑会带来极高的刷量风险
• 不要把Google Play的购买状态和玩家资产余额绑定存储在Google Play端：它没有对应的自定义数据存储能力，你存的所有自定义游戏数据最终都要自己管理

内容的提问来源于stack exchange，提问作者giff1