Android InApp 购买验证答案

【问题标题】：Android InApp purchase verificationAndroid InApp 购买验证
【发布时间】：2017-10-24 22:01:31
【问题描述】：

我有一个移动应用，其中包含一些用户可以购买的应用内商品。一旦用户购买了一些应用内产品，应用就会将 JSON 收据发送到我的服务器，以便根据我的 Google 开发者公钥（存储在服务器中）进行在线验证。

应用程序将签名和数据（也称为收据）发送到服务器：

$signature = 'E2dxlmSe0d45eJpN4FKSUxNPYXM5A1zohpVL60Hd+5jd43j4YMhBlVRLwFeDaBKZnkJ39rYYesWoOu8Z5ysczAIiQO7Myko7UJYVYKvB5GqM8a0iEDjCdCpSRSqLUmaEHKwUJFfjcgw1K5L2gM/m3u8l7Jy25IB+HFVIikO50jiy8SMRh7S+s6PgEAXqG6K6vTpuTC5ECweuQ45VTdb0jNyWOzEW/I1nA5fAB/mmp5j3B6k7nN81NMh/3oUJHba/wWGlbkWtItmDU6/jMdpd1CVViNBhKe0ktwnSRz3XF607/AfZM6JteOKhC6TquWhVNuWpKJWdJbP7Q+RVS0YKog==';

$data = '{"orderId":"GPA.xxxx-xxxx-xxxx-xxxxx","packageName":"xxx.xxx.xxx","productId":"xxx","purchaseTime":1508881024560,"purchaseState":0,"purchaseToken":"didpmjkaldaddakgfabdohdj.AO-J1Ozqb8hZAa-_FLd-sQJgXhwruU3tVEYU0sqhlgXHb8I9wI35xDeQFgFI0Zpoaurw4Ry7zahymvge1U0WlEqqvvAKvwAo0Wk1MtawzAiqVdy2RTvwFGo"}';

这是我用于签名验证的 PHP 代码：

$pkey = "...";
$apkey = "-----BEGIN PUBLIC KEY-----\n".chunk_split($pkey, 64, "\n")."-----END PUBLIC KEY-----";
$pubkeyid = openssl_get_publickey($apkey);
$ok = openssl_verify($data, $signature, $pubkeyid);
openssl_free_key($pubkeyid);
echo $ok;

当然它不起作用。 OpenSSL 函数返回 0（而不是 1 表示 OK）。根据在线文档https://developer.android.com/google/play/billing/billing_integrate.html 我必须检查的是INAPP_PURCHASE_DATA，即receipt。这是文档中的一个示例：

'{
   "orderId":"GPA.1234-5678-9012-34567",
   "packageName":"com.example.app",
   "productId":"exampleSku",
   "purchaseTime":1345678900000,
   "purchaseState":0,
   "developerPayload":"bGoa+V7g/yqDXvKRqq+JTFn4uQZbPiQJo4pf9RzJ",
   "purchaseToken":"opaque-token-up-to-1000-characters"
 }'

这正是我的应用发送的内容。现在，由于签名验证需要位完美的数据，我应该如何将这样的字符串“发送”到 OpenSSL 函数？在文档上，数据有换行和缩进，我的是完全相同的 JSON 结构，但记录为没有换行和缩进的纯字符串。它在 JSON 方面是相同的数据，但从加密签名验证的角度来看却大不相同。有人可以解释一下怎么做吗？

【问题讨论】：

标签： php android mobile in-app-purchase digital-signature

【解决方案1】：

解决了这个问题：

data 必须是没有缩进和换行符的纯字符串
签名在传递给 OpenSSL 函数之前必须经过 base64 解码

所以不要这样：

$ok = openssl_verify($data, $signature, $pubkeyid);

我必须这样做：

$ok = openssl_verify($data, base64_decode($signature), $pubkeyid);

【讨论】：