Question

我提到google play android api来检查应用内商品的购买和消费状态。对于某些订单，我可以得到正确的结果，但有些订单返回错误如下：

error: {
errors: [
{
domain: "global",
reason: "purchaseTokenNotFound",
message: "The purchase token was not found.",
locationType: "parameter",
location: "token"
}
],
code: 404,
message: "The purchase token was not found."
}

购买令牌由谷歌提供，是否可以伪造？

我发现如果我取消谷歌订单，然后检查购买状态，它将返回未找到购买令牌。如果没有，我将获得正确的购买状态。

希望有人可以提供帮助。

Answer 1

如果您在短时间内将相同的INAPP产品销售给相同的用户多次，那么除了上次购买之外，所有访问令牌很可能会返回 404 代码。

例如：

john@example.com 转到您的应用并购买 com.example.test.product 几次，您可能会在您的记录（或Google电子钱包）中注意到商家帐户）它是购买该产品的同一用户。

当您检查此用户的上次购买时，可能会出现以下内容

{
kind: "androidpublisher#inappPurchase",
purchaseTime: "1409823171827",
purchaseState: "0",
consumptionState: "1",
developerPayload: "My Product | Ref | 1409823162466"
}

然而如果你要检查他之前的代币，那么他的购买很可能会返回 404 ！

我在某处（不记得在哪里）读过为每次购买创建的购买代币基本上都是基于inapp产品和Google用户。因此，每次购买很可能会“销毁”为同一用户创建的任何先前购买令牌。

希望这个解释有所帮助。当我的服务器尝试连接到Google API并检查交易时，我每天都会遇到这个问题。也许有一天有人会读到这个并提供解决方案：）

Answer 2

这些文件具有误导性。您无需使用此API来验证购买。

移动应用 getBuyIntent 方法 INAPP_PURCHASE_DATA 和 INAPP_DATA_SIGNATURE 。

您可以使用签名和公钥验证购买。

https://developer.android.com/google/play/billing/billing_reference.html#getBuyIntent

您可以在Google Play Developer Console上找到公钥 - ＆gt; YOUR_APP - ＆gt; service and API

package main

import (
        "crypto"
        "crypto/rsa"
        "crypto/sha1"
        "crypto/x509"
        "encoding/base64"
        "encoding/pem"
        "fmt"
)

//replace const below with your own.
const (
        pubKeyPEM=`-----BEGIN PUBLIC KEY-----
Some thing like this
-----END PUBLIC KEY-----`
        data = `purchase data from getBuyIntent API`
        sign = `purchase data signature from getBuyIntent API`

)

func Panic(err error) {
        if err != nil {
                panic(err)
        }
}

func main() {

        PEMBlock, _ := pem.Decode([]byte(pubKeyPEM))
        if PEMBlock == nil {
                Panic(fmt.Errorf("Could not parse Public Key PEM"))
        }
        if PEMBlock.Type != "PUBLIC KEY" {
                Panic(fmt.Errorf("Found wrong key type"))
        }
        pubkey, err := x509.ParsePKIXPublicKey(PEMBlock.Bytes)
        if err != nil {
                Panic(err)
        }

        // compute the sha1
        h := sha1.New()
        h.Write([]byte(data))

        // decode b64 signature
        signature, err := base64.StdEncoding.DecodeString(sign)
        Panic(err)

        // Verify
        err = rsa.VerifyPKCS1v15(pubkey.(*rsa.PublicKey), crypto.SHA1, h.Sum(nil), signature)
        Panic(err)

        // It verified!
        fmt.Println("OK")
}

检查android购买状态，但返回未找到购买令牌

2 个答案: