使用 Play Integrity API 来保护您的应用和游戏-低调大师

使用 Play Integrity API 来保护您的应用和游戏

2022-02-10 468

在 Android 平台上有丰富的应用和游戏，为用户带来了很多绝佳的使用体验。其中大部分的用户会按照应用或游戏所设计的体验路线享受其带来的乐趣。但还是有一些用户来者不善，他们会通过作弊、恶意篡改、欺诈盗窃、盗版或未经授权等方式对应用或游戏进行滥用，这使得开发者不得不绞尽脑汁应对。通常使用未知账户或未知设备同应用进行不可信的交互将会带来滥用行为，且形式越来越复杂，这给开发者带来的挑战也在持续升级。本文您将学习到如何使用最新的 Play Integrity API 在兼顾便利性的同时为开发者保障应用的安全和完整性。

如果您更喜欢通过视频了解此内容，请点击这里查看。

Play Integrity API

我们曾推出独立的 API 来专门处理此类特定问题，比如 SafetyNet Attestation API 和 Google Play Licensing，每天帮助上千个应用处理对设备和用户账号的信任问题。但是随着挑战升级，所要面临的情况越来越复杂，开发者往往要集成多个 API 才能成功处理反滥用问题，但这样带来的复杂性很容易产生遗漏，而一项遗漏造成的结果往往可能会导致应用被严重滥用。

为解决这类问题，我们整合了最为先进的完整性技术，提供了全新的 Play Integrity API，实现了让开发者只需调用单个 API 就能够实现整个应用的保护。该 API 会检测应用中存在的风险和不可信的交互，并发送信号给应用后端服务器，应用后端服务会判断是否能够信任同应用进行的交互。

Play Integrity API 有助于保护您的应用和游戏，使其免受可能存在风险的欺诈性交互 (例如欺骗和未经授权的访问) 的危害，让您能够采取适当措施来防范攻击并减少滥用行为。

当您的应用在搭载 Android 4.4 (API 级别 19) 或更高版本的设备上使用时，Play Integrity API 会提供已签名且加密的响应，其中包含以下信息:

正版应用二进制文件: 确定您正在与之交互的二进制文件是否已获 Google Play 认可且未经篡改。
正规 Play 安装: 确定当前用户帐号是否以正当方式 (例如通过 Google Play 安装或付费购买) 获取应用或游戏。
正品 Android 设备: 确定您的应用是否在由 Google Play 服务提供支持、已知且未经篡改的 Android 设备上运行。

一旦发现问题，您可以决定是否需要提高用户使用门槛，来提高应用被滥用的难度，从而降低应用可能会面临的风险。我们已同一些开发者们紧密合作来测试这一 API，它已投入生产环境使用，来保护应用和游戏不被滥用。

△ Play Integrity API 的优势

Play Integrity API 具有如下关键优势:

它由 Google Play 提供支持，并提供了最新的文档、代码示例和最佳实践，开发者可从 Play Console 进行配置，并得到开发者支持；
Integrity API 返回的数据包体积小且被加密，单个返回的数据包封装了多个完整性检测信号，无需进行多个 API 调用；
这是一个面向未来设计的 API，它将会支持更新的设备种类和规格的完整性检测。

授信流程

Play Integrity API 通过某种难以被侵入的方式让您的应用服务器同 Play 服务器进行通信，并进一步处理授信。其具体步骤如下图所示:

△ Play Integrity API 授信步骤

用户开始进行某项操作，比如登陆应用或者加入多人游戏；
应用后端服务器开始生成唯一 ID，并通过触发应用开始进行完整性检查；
应用调用 Play Integrity API；
Play 服务器会开始根据多项信号进行评估，包括设备是否已经受到侵入，是否通过证书认证测试，并对应用的授权许可进行验证，随后 Play Integrity API 会返回经过签名和加密的判定结果给应用，告知是否可以信任设备和二进制文件；
应用再将 Play Integrity API 返回的结果转发回应用服务器；
应用服务器会检查返回的 ID 与发送时的 ID 是否相同，并对结果进行分析判断，并将其返回给应用；
应用拿到结果之后，如果判定一切正常就可以让用户继续使用。

以上所有的操作都会在一瞬间完成，用户不会感觉到有任何的延迟。如果您使用的是 SafetyNet Attestation API，它的实现同上述步骤相似。

注意事项

在使用 Play Integrity API 时，需要注意以下几点:

确认遇到的主要问题，是盗版问题，比如流量欺诈、作弊，还是其他问题。分析出问题的严重程度，以及它造成的损失程度，以判断需要花费多大的努力去减少损失；
就完整性问题而言，没有一劳永逸的解决方案，新的 Play Integrity API 也不能解决所有问题，它仅可作为整体安全和反滥用策略的一个环节；
务必要考虑到误报的风险以及其他可能带给普通用户的使用成本，与其遇到有风险的操作就进行封堵，更好的做法通常是通过额外步骤增加用户滥用的门槛；
持续分析，倾听用户反馈，并持续更新 Android 和 Play 支持的功能，积极采用行业内反滥用的最佳实践。

如需了解 Play Integrity API 详情，请前往 Play Integrity API 页面。

针对在 Google Play 以及其他平台发行的应用，我们都将发布集成指南，我们还会分享更多从 Safety Device Attestation 以及 Play Licensing 迁移至新 API 的相关信息，敬请关注，同时期待您的反馈。

欢迎您点击这里向我们提交反馈，或分享您喜欢的内容、发现的问题。您的反馈对我们非常重要，感谢您的支持！

微信关注我们

原文链接：https://my.oschina.net/androiddevs/blog/5438084

转载内容版权归作者及来源网站所有！

低调大师中文资讯倾力打造互联网数据资讯、行业资源、电子商务、移动互联网、网络营销平台。持续更新报道IT业界、互联网、市场资讯、驱动更新,是最及时权威的产业资讯及硬件资讯报道平台。

基于babel的埋点工具简单实现及思考

相关知识点什么是AST抽象语法树程序的编译过程 AST的用途 Babel的原理个人实现的基于babel的埋点实例及思考什么是AST抽象语法树程序的编译过程什么是程序的编译呢？我们都知道，在传统的编译语言流程中，程序中的一段代码在它被执行之前都会经历三个步骤，这个步骤的执行过程也就是程序的编译过程。分词（词法分析）词法分析的过程也就是第一步，我们写的代码本质上就是一串串字符串，而词法分析这个过程则会把这些由字符组成的字符串去分解成有意义的代码块。比如： let a = 1 // let a = 1 复制代码在这个程序中就会把 let、 a、 =、 1、拆分开来，对于某些特殊占位符（如空格）是否需要拆分则会取决于这个占位符是否有实际的意义。解析（语法分析）语法分析的过程就是将词法分析后的结果按照一定的规则进行组合，将散列的代码块进行关联并形成一个代表程序语法结构的树，也被称为是抽象语法树（AST）。抽象语法树是源代码的抽象语法结构的树状表示，树上的每个节点都表示源代码中的一种结构，之所以说是抽象的，抽象表示把js代码进行了结构化的转化，转化为一种数据结构。这种数...

2022-02-10

485

NGINX近年来已经成长为全球最热门、应用使用最广泛的开源项目之一。NGINX市场份额经过多年的稳步增长，已于2021年5月超越Apache HTTP Server 成为全球最常用的 Web 服务器。目前全球已有超过4 亿个站点依赖于NGINX提供Web服务。时至今日，对于所有主要云厂商以及世界各行各业许多大型企业而言，NGINX 已然成为值得信赖的合作伙伴。从仅有一人的初创公司到像 Adobe 这样拥有全球规模的大型科技公司，都已成为 NGINX 社区中的一员。不忘初心，不断进步。为了更好的了解NGINX中文社区的用户对于NGINX开源版的真实使用情况，我们设置了本次调查问卷，以便于我们能够更好地规划产品路线，并提供社区需要的相关资源。点击这里https://www.wenjuan.com/s/UZBZJvZoIu/?group=media_oschina，填写问卷。您的宝贵意见和建议将是我们前进的动力，您的反馈对未来NGINX的发展至关重要。由衷地感谢您能抽出几分钟的时间参加本次调查问卷。为了感谢您的反馈，我们也为本次活动准备了丰厚的奖品。完成问卷填写就有机会获得Appl...

2022-02-10

497

资源下载

更多资源

优质分享App

近一个月的开发和优化，本站点的第一个app全新上线。该app采用极致压缩，本体才4.36MB。系统里面做了大量数据访问、缓存优化。方便用户在手机上查看文章。后续会推出HarmonyOS的适配版本。

Spring

Spring框架（Spring Framework）是由Rod Johnson于2002年提出的开源Java企业级应用框架，旨在通过使用JavaBean替代传统EJB实现方式降低企业级编程开发的复杂性。该框架基于简单性、可测试性和松耦合性设计理念，提供核心容器、应用上下文、数据访问集成等模块，支持整合Hibernate、Struts等第三方框架，其适用范围不仅限于服务器端开发，绝大多数Java应用均可从中受益。

Rocky Linux

Rocky Linux（中文名：洛基）是由Gregory Kurtzer于2020年12月发起的企业级Linux发行版，作为CentOS稳定版停止维护后与RHEL（Red Hat Enterprise Linux）完全兼容的开源替代方案，由社区拥有并管理，支持x86_64、aarch64等架构。其通过重新编译RHEL源代码提供长期稳定性，采用模块化包装和SELinux安全架构，默认包含GNOME桌面环境及XFS文件系统，支持十年生命周期更新。

Sublime Text

Sublime Text具有漂亮的用户界面和强大的功能，例如代码缩略图，Python的插件，代码段等。还可自定义键绑定，菜单和工具栏。Sublime Text 的主要功能包括：拼写检查，书签，完整的 Python API ， Goto 功能，即时项目切换，多选择，多窗口等等。Sublime Text 是一个跨平台的编辑器，同时支持Windows、Linux、Mac OS X等操作系统。