使您的Android应用程序的应用内购买流程难以打破的最佳做法？

Question

我应该遵循哪些步骤来减少在android应用程序中非法激活和使用应用程序内功能的可能性？

它可能无法击败它，但是，应该有一些基本的步骤至少过滤掉的孩子......

Answer 1

你可能想至少尝试混淆你的公共密钥，这样攻击者就可以” t只需反编译你的应用程序并寻找静态字符串。

的Android开发者网站上有这方面的一些想法：

保护您的谷歌播放公钥

为了让你的公钥的恶意用户和黑客安全，不 将它嵌入到任何代码作为文字字符串。相反，在运行时从零件构造 字符串或使用位操作（例如， XOR与其他字符串）来隐藏实际的键。密钥本身并不是秘密信息，但您不希望让黑客或恶意用户轻易地用另一个密钥替换公钥。

http://developer.android.com/google/play/billing/billing_best_practices.html

Answer 2

如果你不这样做的服务器上验证，然后犯罪分子甚至不会理会盗号您的应用程序。他们会将所有请求重新路由到他们的服务器，并为您提供可以自行验证的虚假收据。我确信我的内容被盗，但我也知道我的服务器验证已经停止了许多尝试（来自日志）。需要记住的一件事是，您需要对应用程序和服务器之间的通信进行某种身份验证。

我也认为在混淆你的代码以降低人们的搜索速度方面有一定价值，但这更多的是停止代码盗窃而不是预防IAP盗窃。