公共存储库中的 Android In App Billing 公钥

Question

我编写了一个开源应用程序，我在其中通过 In App Billing 添加了捐款。 Google 说要“隐藏”公钥 (see here)。

由于应用程序本身是开源的，因此每个人都可以编译它并更改密钥。目前我创建了一个带有返回密钥的静态类的新项目。我用这个类来获取密钥，所以我的 git repo 中没有普通的公钥。但这真的有必要吗？

如果有人拥有我的公钥，可能发生的最糟糕的事情是什么？

谢谢， 芦笋

Answer 1

我想到了这个“问题”并尝试自己回答。希望它对任何人都有用。

注意：如果您打算通过应用内购买来销售商品并激活功能，您应该混淆您的密钥！我的答案仅适用于开源应用程序！

由于我没有通过应用内购买激活其他功能，因此黑客无法更换密钥。他无法获得任何附加功能。即使它会启用某些功能，由于该应用程序是开源的，因此每个人都可以删除检查购买的条件。

另一方面，如果有人在他的应用程序中使用密钥，我不确定如果他将应用程序上传到开发控制台会发生什么。我认为应用内购买会失败，因为每个上传的应用都会生成一个新的公钥。

我想说您最好将公钥包含在您的公共存储库中。我也会包含它。