android - 从服务器访问数据时区分我的应用程序与克隆的应用程序

Question

我有一个向移动应用程序提供数据的网站。
Is there a way to identify myApp vs a cloned App?
这样我就可以阻止任何克隆应用程序的访问。

在第一次使用 APP 时，我会生成一个APP ID, PASS CODE&Access URL
我经常更改的地方PASS CODE，但是如何在第一次访问时识别 myAPP 以确保我只向我自己的 APP 发出APP ID& 。PASS CODE

首次访问可以使用哪种加密方式？

Answer 1

您可以在您的应用程序代码上拥有一个只有您的服务器知道的硬编码密钥。使用它来创建哈希签名，例如md5(concat(key, deviceId)). 当请求到达您的应用程序服务器时，您可以执行相同的操作并比较结果。克隆者无法通过嗅探您的应用请求来发现此密钥。获得它的唯一方法是拆卸它，但这要困难得多。

不过，这是一个简单的建议。如果您想要更复杂的解决方案，请查看HMAC wiki。

Answer 2

通过 Push 将令牌传递给应用程序（ Android 的 GCM ）是有意义的。使用该代码可以唯一标识应用程序，而克隆的应用程序无法访问该代码。