如何在我的服务器上验证 Android 应用内结算交易？

Question

我制作了一个 Android 应用，可以使用 in-app-billing 购买商品。购买商品后，交易可以轻松在 Android Market 和手机之间同步 - 以便在应用程序中使用。但是，我需要我的服务器来了解购买。应在我的服务器上而不是在客户端应用程序中决定交付特定于应用程序的数据。

例如

1. 用户从 Android Market 购买商品 X。
2. 交易数据 Y 被发送到客户端。
3. 客户端将 Y 发送到我的服务器。
4. 客户端要求服务器为 X 提供内容。
5. 服务器传送内容如果 Y 有效。如何做到这一点？

问：如何验证来自 Android 客户端（可能来自 Google 服务器）的交易数据不是假的？ IE。黑客没有生成数据。

Google 服务器 -> Android 客户端 -> 我的服务器 -> Android 客户端

也许这更像是一个 PHP 问题。为了验证检索到的数据是否真实，我的服务器脚本 (PHP) 究竟应该做什么？

Answer 1

使用 openssl_verify ($data, $signature, $key)

变量 $data 和 $signature 应该使用 https 从 android 客户端发送到您的 php 服务器。交易包含这两个项目。在您确认客户端上的交易之前将其发送到您的服务器。（请参阅此处的文档 - http://developer.android.com/guide/market/billing/billing_integrate.html）

变量 $key 是您的 google 公钥，可从您的发布商帐户的许可和应用内结算面板中获得。复制公钥并在您的 php 代码中使用它，最好使用您安装在服务器上的配置文件，而不是在您的实际 php 代码中。

如果 openssl_verify 调用成功，您应该将订单号存储在您的服务器上并确保它们是唯一的，这样它们就不会被重放。请注意，单个数据收据和签名对可能包含许多订单号，尽管通常是一个订单。

Answer 2

我们使用了AndroidBillingLibrary。

在 Eclipse 中将其作为项目安装并让您的项目将其作为库导入。

我们实现了 BillingController.IConfiguration，类似于

import net.robotmedia.billing.BillingController;

public class PhoneBillingConfiguration implements BillingController.IConfiguration{
    @Override
    public byte[] getObfuscationSalt() {
        return new byte[] {1,-2,3,4,-5,6,-7,theseshouldallberandombyteshere,8,-9,0};
    }

    @Override
    public String getPublicKey() {
        return "superlongstringhereIforgothowwemadethis";
    }
}

然后对于我们的应用程序，我们扩展了Application：

public class LocalizedApplication extends Application {

    @Override
    public void onCreate() {
        super.onCreate();

//      BillingController.setDebug(true);
        BillingController.setConfiguration(new PhoneBillingConfiguration());
    }
}

AndroidManifest 包括这个（以及所有其他内容）

<application
    android:icon="@drawable/icon"
    android:label="@string/app_name"
    android:name=".LocalizedApplication"   <!-- use your specific Application  -->
    android:largeHeap="true"
    android:hardwareAccelerated="true"
    >

    <!-- For billing -->
    <service android:name="net.robotmedia.billing.BillingService" />
        <receiver android:name="net.robotmedia.billing.BillingReceiver">
        <intent-filter>
            <action android:name="com.android.vending.billing.IN_APP_NOTIFY" />
            <action android:name="com.android.vending.billing.RESPONSE_CODE" />
            <action android:name="com.android.vending.billing.PURCHASE_STATE_CHANGED" />
        </intent-filter>
    </receiver>

我们实现了ISignatureValidator

public class PhoneSignatureValidator implements ISignatureValidator {
    private final String TAG = this.getClass().getSimpleName();
    private PhoneServerLink mServerLink;


    private BillingController.IConfiguration configuration;

    public PhoneSignatureValidator(Context context, BillingController.IConfiguration configuration, String our_product_sku) {
        this.configuration = configuration;
        mServerLink = new PhoneServerLink(context);
        mServerLink.setSku(our_product_sku);
    }


    @Override
    public boolean validate(String signedData, String signature) {
        final String publicKey;
        if (configuration == null || TextUtils.isEmpty(publicKey = configuration.getPublicKey())) {
            Log.w(BillingController.LOG_TAG, "Please set the public key or turn on debug mode");
            return false;
        }
        if (signedData == null) {
            Log.e(BillingController.LOG_TAG, "Data is null");
            return false;
        }
        // mServerLink will talk to your server
        boolean bool = mServerLink.validateSignature(signedData, signature);
        return bool;
    }

}

调用你的类的最后几行实际上会与你的服务器对话。

我们的 PhoneServerLink 开始是这样的：

public class PhoneServerLink implements GetJSONListener {

    public PhoneServerLink(Context context) {
        mContext = context;
    }

    public boolean validateSignature(String signedData, String signature) {
        return getPurchaseResultFromServer(signedData, signature, false);
    }

    private boolean getPurchaseResultFromServer(String signedData, String signature,  boolean async) {  
            // send request to server using whatever protocols you like 
    }

}

Answer 3

交易数据使用特定于您的应用的私钥进行签名。还有一个随机数可以防止重放（即多次发送相同的有效数据）。如果您验证 nonce 是唯一的并且签名在您的服务器上是有效的，那么您可以合理地确定它不是假的。查看this Google IO presentation关于IAB的部分进行讨论。