如何安全地验证用户对 Android 应用的订阅？

Question

我对安全或服务器知之甚少，但我正在制作一个允许用户购买应用内订阅的 Android 应用。 As recommended，我想使用 Google Play Developer API 并将必要的数据存储在我自己的服务器上。但是，如果我的代码中没有一行

，我想不出一种方法来做到这一点

if(userIsSubscribed){
    //give access to purchased data
}

黑客显然可以进入并将其转至if(true)。我应该怎么做？

Answer 1

至少混淆您的应用代码。在发送内容之前，还要在服务器上进行订阅检查。这就是他们拥有 Web API 的原因之一。

基本上，用户（和潜在的破解者）有权访问的任何内容（即您的应用）都是不可信的。他们无法直接访问的东西（即您的内容服务器）可以得到更多信任，并且在可能的情况下将所有敏感操作和/或数据移到那里是个好主意。