应用内购买促销代码会破坏远程服务器验证？

Question

发布应用内购买的促销代码似乎会阻止应用（再次）执行远程服务器购买验证！

当promo code用于应用内购买（PURCHASES_UPDATED广播）时，它将完全绕过购买流程，因此应用无法提供"developerPayload"，用于远程验证。

稍后当应用致电getPurchases()以获取/验证所有者产品时，促销购买的purchase data当然不会包含"developerPayload"，但"orderId"也不会，对于使用Google Play Developer API进行远程验证也很有用。

应用如何验证通过促销代码进行的应用内购买？

允许用户通过Google Play商店应用/网站兑换促销代码，从而绕过购买流程，这似乎是一项无法实现的重大疏忽。

问题报告：

• https://code.google.com/p/android/issues/detail?id=200722（关闭WrongForum）
• https://github.com/googlesamples/android-play-billing/issues/7

类似帖子：

• In-app purchases made via promo codes return empty developer payload string

Answer 1

这确实是Google方面的安全问题，因此我建议采取一种解决方法。

与促销代码一起为用户提供服务器生成的服务器ID，在获得促销购买时验证服务器ID并仅接受购买一次。

从市场使用时，使用引荐来源发送id。从app使用时，您有自己的逻辑来提供服务器ID。

底线没有其他解决方案，但有些人如何识别具有某种身份的用户。