Android服务器请求的盗版预防

Question

我正在开发一个需要服务器完成大部分繁重工作的应用程序.我想防止盗版客户端向该服务器发送请求.有没有办法发送一些带有请求的标识符,以便我的服务器可以询问Android Market是否有该ID的用户实际购买了应用程序？我该怎么做呢？

请注意,仅使用LVL保护应用程序是行不通的,因为人们可以相当轻松地编写应用程序以与服务器连接,并仍然提供与付费应用程序相同的功能.

Answer 1

第一:您在不受您控制的设备上运行的任何内容(例如您的Android设备)都没有100%的安全性.

您可以通过以下几种方法更难以"滥用":

• 成功登录后使用时间限制发出随机会话密钥(加密安全),以便在经过一定时间后需要进行新登录
• 为每个通信步骤发出一个随机交互密钥(加密安全),在一次使用后立即失效
• 成功登录时,会终止与该登录前可能处于活动状态的相同凭据关联的任何其他会话
• "限制"使用,即限制每分钟/小时或类似的呼叫数量(根据具体应用可能不可能)

如果你真的想要非常努力,你可以发出特定于设备的客户端证书(当客户购买你的应用程序时)并使用基于证书的客户端身份验证(在SSL标准中定义) - 你可以使与之相关的证书无效设备如果您看到滥用而对其他设备的合法用户没有伤害...