本文讲述了作者在Google Play应用内支付遇到的被模拟支付的问题，以及如何通过服务器端订单验证来解决这个问题。文章提到，尽管支付接口做了签名校验，攻击者仍能模拟成功支付。为确保安全，作者利用Google提供的查询订单接口进行后端验证，通过检查订单状态和developerPayload来防止重放攻击。
最近在google play上线的应用内支付被人刷了，用户模拟发起了大量的支付请求，并且全部成功支付。搞得我最近茶饭不思。。今天总算是解决了，和大家分享一下。
我们客户端的支付实现步骤是：
1. app端调用google支付
2. 支付成功后，调用 自己服务器的发货接口，当然发货接口是做了签名校验的。
之所以在app端调用发货，是因为google貌似没有提供服务器端直接回调url的地方，所以才给了恶意用户模拟google返回的机会。
一开始我以为是我们自己的发货接口密钥被破解了，但是后来经过app上报，发现客户端是真实的走过了所有的google支付流程，即google的支付sdk真的返回了成功。
由于不清楚是因为google的密钥泄漏还是攻击者用别的方法实现，所以客户端这边已经没有办法确认是安全的了。
好在google是提供了查询订单的接口的:
最低0.47元/天 解锁文章
2万+
被折叠的 条评论
为什么被折叠?
到【灌水乐园】发言
