尧图网站建设 
Android设备完整性检测完整指南Play Integrity API Checker 从零到实战【免费下载链接】play-integrity-checker-appGet info about your Device Integrity through the Play Intergrity API项目地址: https://gitcode.com/gh_mirrors/pl/play-integrity-checker-app你的应用明明运行得好好的却可能正在被重打包、被塞进模拟器、被注入攻击脚本——而你完全不知道。这正是 Play Integrity API Checker 要解决的痛点它把 Google 官方的 Play Integrity API 封装成一个直观的 Android 应用让你一键查看设备的完整性状态。设备是否被 Root、系统签名是否被篡改、是否运行在虚拟环境中这些问题它都会以四种不同层级的结论告诉你。本文将带你从理解原理、本地构建到实际接入完整掌握这个开源检测工具。这不是测试工具而是一台设备信任体检仪先纠正一个常见误解Play Integrity API Checker 不是给普通用户玩的安全玩具它的真正用户是开发者。当你正在开发一款对安全性敏感的 App需要确认我写的完整性校验逻辑到底能不能跑通时这个工具就是你最快的验证手段。它解决的三个核心问题验证链路通不通从生成随机数nonce、请求令牌、发送到你的服务端、再到解析裁决结果整条链路是否顺畅一测便知。设备状态清不清楚手上这台测试机到底处于什么安全水平四类完整性指标逐一给出结论。排查过程快不快原生的 Integrity API 返回的是晦涩的错误码和 JSON 串这个工具把它们翻译成通过/失败/未知三态图标和可读的错误提示。它的差异化优势也在这里开箱即用的可视化反馈 可复制的完整客户端实现。代码量不大但把官方 API 的请求、回调、错误处理、界面联动全部走了一遍是一份极佳的官方 API 学习范本。从点击到结果一次检测的三段旅程要理解这个工具最好的方式不是读文档而是跟着一次点击走一遍代码。项目结构非常清晰app/src/main/java/gr/nikolasspyr/integritycheck/ ├── MainActivity.java # 主界面与完整检测流程 ├── Utils.java # 打开浏览器等小工具 └── dialogs/ ├── AboutDialog.java # 关于对话框 └── licenses/ # 开源许可证展示模块用户点击主界面上的Check按钮后MainActivity会依次走完三段旅程。第一段本地造暗号——生成 nonce。nonce一次性随机数是防重放攻击的关键每次检测必须不同。源码用 50 位大小写字母加数字随机拼装// 生成一次性的随机挑战值防止令牌被重放利用 private String buildRandomChallenge() { final int challengeLength 50; final String alphabet ABCDEFGHIJKLMNOPQRSTUVWXYZabcdefghijklmnopqrstuvwxyz0123456789; StringBuilder sb new StringBuilder(challengeLength); for (int i 0; i challengeLength; i) { int index (int) Math.floor(Math.random() * alphabet.length()); sb.append(alphabet.charAt(index)); } return sb.toString(); }第二段把暗号交给 Google——请求令牌。通过IntegrityManagerFactory拿到管理器实例把 nonce 塞进IntegrityTokenRequest再注册成功/失败两个监听器。成功回调里拿到 token 后立刻转交OkHttpClient发送给你自己的服务端——注意客户端并不直接解密令牌这是安全设计的关键。第三段服务端裁决客户端翻译。服务端校验令牌后返回 JSON客户端解析出deviceRecognitionVerdict字段再逐项判断四种裁决值是否出现// 把裁决字符串翻译成 UI 可用的三态1通过 0失败 -1未知 private Integer[] decodeVerdictFlags(String rawVerdict) { return new Integer[]{ rawVerdict.contains(MEETS_BASIC_INTEGRITY) ? 1 : 0, rawVerdict.contains(MEETS_DEVICE_INTEGRITY) ? 1 : 0, rawVerdict.contains(MEETS_STRONG_INTEGRITY) ? 1 : 0, rawVerdict.contains(MEETS_VIRTUAL_INTEGRITY) ? 1 : -1 }; }注意第四项的特殊处理虚拟完整性不是所有设备都会返回所以用-1未知来区分没达标和未评估。界面上的四个图标随之切换为绿勾、红叉或灰色问号。十分钟搭起自己的检测环境安装与配置全流程想让这个工具在你自己设备上跑起来需要准备四样东西缺一不可配套的服务端Play Integrity Checker Server负责接收令牌并向 Google 换取裁决结果。可访问的服务端 URL。一台从 Play Store 安装应用的真机侧载sideload安装可能拿不到MEETS_BASIC_INTEGRITY和MEETS_STRONG_INTEGRITY两项结果。Google Cloud 项目配置通过 Play Console 关联并开启对应的完整性级别。环境要求方面项目使用 Java 17、Android SDK 21 以上minSdkVersion 21targetSdkVersion 36依赖包括appcompat 1.7.1、material 1.12.0、constraintlayout 2.2.1、play:integrity 1.4.0和okhttp 4.12.0。配置和构建只需三步第一步克隆仓库git clone https://gitcode.com/gh_mirrors/pl/play-integrity-checker-app cd play-integrity-checker-app第二步写入服务端地址。在项目根目录的local.properties中新增一行API_URLhttps://my-awesome-server-url.com构建脚本会在编译期读取这个值通过buildConfigField注入到BuildConfig.API_URL你在代码里直接用即可。第三步构建安装./gradlew assembleDebug生成 APK 后安装到已登录 Play Store 的真机上就可以开始检测了。四盏状态灯背后完整性级别的判定逻辑主界面的核心是一个由四个图标组成的状态面板分别对应 Google Play Integrity API 的四个裁决维度。理解它们就等于理解了整个工具的价值。状态灯裁决标记通俗含义典型用途基本完整性MEETS_BASIC_INTEGRITY设备未被明显篡改未检测到 Root普通应用的基线安全门槛设备完整性MEETS_DEVICE_INTEGRITY运行的是官方认证系统未被解锁刷机金融、支付类 App 的系统级验证强完整性MEETS_STRONG_INTEGRITY通过硬件级密钥证明固件未被改动高敏场景如数字身份、企业管控虚拟完整性MEETS_VIRTUAL_INTEGRITY是否运行在模拟器等虚拟环境中游戏防作弊、自动化攻击识别界面实现上四个图标和文字被一个ConstraintLayout的Flow助手编排成两列排布其中虚拟完整性那一组默认隐藏只有服务端确实返回了该字段时才显示——这就是代码里-1状态对应的 UI 行为没评估就不误导用户这个细节很值得借鉴。除了四盏灯右上角菜单还藏着两个实用入口Show JSON response弹出完整的原始 JSON 响应支持一键复制到剪贴板。当你想看裁决以外的扩展字段时这是最直接的窗口。Learn what the results mean跳转官方文档页面快速查证每个标记的确切语义。错误码地图当检测失败时如何自救这个项目最干货的部分其实是它的错误处理。MainActivity里维护了两张大型映射表一张把错误码翻译成可读名称一张把错误码对应到解决建议。拿最常见的几种来说错误码含义建议动作API_NOT_AVAILABLEIntegrity API 在当前设备不可用更新 Play StoreNETWORK_ERROR找不到可用网络检查网络连接TOO_MANY_REQUESTS请求过于频繁被限流稍后再试降低调用频率PLAY_STORE_NOT_FOUND未安装官方 Play Store安装官方正版 Play StoreNONCE_TOO_SHORTnonce 少于 16 字节检查 nonce 生成逻辑APP_UID_MISMATCH调用方 UID 与包管理器不一致高度可疑可能遭遇攻击组装错误信息时代码会把错误码 原因 解决方案三段拼成一条完整提示弹出对话框告知用户。这种错误码→原因→对策的三层映射结构本身就是一份可复用的工程模板你完全可以照搬这套模式用在自己的网络请求错误处理上。三个拿来即用的接入场景与扩展思路场景一金融类 App 的安全门槛。支付、转账类操作要求在官方系统 未被 Root的环境下进行。参考工具的做法把完整性校验放在敏感操作前先取 token → 服务端裁决 → 只有强完整性通过才放行交易。注意校验必须放在服务端完成客户端拿到的裁决结果不可全信。场景二游戏与社区应用的模拟器拦截。利用MEETS_VIRTUAL_INTEGRITY判断玩家是否跑在模拟器里配合行为分析识别自动化脚本。实现上可以扩展一个简单的分级策略public IntegrityLevel decideRequiredLevel(AppCategory category, boolean isSensitiveAction) { if (isSensitiveAction) { return IntegrityLevel.STRONG; // 敏感操作一律从严 } switch (category) { case GAME: return IntegrityLevel.VIRTUAL; // 游戏先防模拟器 case PAYMENT: return IntegrityLevel.DEVICE; // 支付至少设备级 default: return IntegrityLevel.BASIC; } }场景三企业设备合规初筛。在内部测试阶段用这个工具批量确认测试机状态是否达标避免测试机本身已 Root导致线上问题定位错方向的尴尬。这也是它作为开发期验证工具最朴素的用法。少走弯路的实践清单该做的与别踩的坑以下经验大部分来自项目 README 中作者的原话警告含金量很高。✅ 应该做把完整性校验放到服务端完成客户端只负责取 token 和展示结果。将完整性请求与其他请求配对发送例如和登录请求绑定即使 App 被逆向没有有效令牌也无法继续。先用本工具确认你的设备与 Google Cloud 配置是否就绪再开始写自己的校验代码。处理错误码时参考本项目的三层映射模式把原因和解决方案直接写给用户看。❌ 避免做不要在正式产品里把完整 JSON 原样下发给 App——只回传 yes/no 就足够。不要指望侧载的调试包能测出全部结果MEETS_BASIC_INTEGRITY与MEETS_STRONG_INTEGRITY通常要求来自 Play Store 的正式分发渠道。不要把 nonce 复用或写死长度也不要低于 16 字节否则会触发NONCE_TOO_SHORT。常见问题速查现象可能原因处理方式基本/强完整性始终失败设备已 Root 或系统被修改恢复官方系统后再测提示更新 Play StorePlay Store 版本过旧升级到最新官方版本请求报错 429/限流短时间请求过多降低频率或稍后重试服务端返回空响应服务端未正确返回 JSON检查 Play Integrity Checker Server 配置边界感与下一步给工具也给自己留余地最后要说的是这个项目最难得的一点它清楚地知道自己的边界。README 里明确写着如果你要在自己的应用里实现 Integrity API不应该照抄这种客户端展示完整 JSON 的方式。它把自己定位成一个教学与排查工具而不是生产级安全方案的模板——这种坦诚反而让它的学习价值更高。项目采用 MIT 协议开源代码结构精简非常适合二次学习想看懂官方 API 怎么对接读MainActivity想学 Material 组件和状态管理读activity_main.xml与许可证模块的LicensesViewModel。后续你完全可以在这个基础上扩展增加历史记录、导出检测报告、接入更多设备标签字段甚至把判定逻辑抽成可复用的 SDK。回到开头的问题你的应用真的安全吗答案不能靠感觉要靠可验证的检测链路。Play Integrity API Checker 提供的正是这样一条从原理到实践的完整路径——读懂它你就读懂了 Android 设备信任验证的骨架。【免费下载链接】play-integrity-checker-appGet info about your Device Integrity through the Play Intergrity API项目地址: https://gitcode.com/gh_mirrors/pl/play-integrity-checker-app创作声明：本文部分内容由AI辅助生成（AIGC），仅供参考 Android设备完整性检测完整指南：Play Integrity API Checker 从零到实战
Android设备完整性检测完整指南Play Integrity API Checker 从零到实战【免费下载链接】play-integrity-checker-appGet info about your Device Integrity through the Play Intergrity API项目地址: https://gitcode.com/gh_mirrors/pl/play-integrity-checker-app你的应用明明运行得好好的却可能正在被重打包、被塞进模拟器、被注入攻击脚本——而你完全不知道。这正是 Play Integrity API Checker 要解决的痛点它把 Google 官方的 Play Integrity API 封装成一个直观的 Android 应用让你一键查看设备的完整性状态。设备是否被 Root、系统签名是否被篡改、是否运行在虚拟环境中这些问题它都会以四种不同层级的结论告诉你。本文将带你从理解原理、本地构建到实际接入完整掌握这个开源检测工具。这不是测试工具而是一台设备信任体检仪先纠正一个常见误解Play Integrity API Checker 不是给普通用户玩的安全玩具它的真正用户是开发者。当你正在开发一款对安全性敏感的 App需要确认我写的完整性校验逻辑到底能不能跑通时这个工具就是你最快的验证手段。它解决的三个核心问题验证链路通不通从生成随机数nonce、请求令牌、发送到你的服务端、再到解析裁决结果整条链路是否顺畅一测便知。设备状态清不清楚手上这台测试机到底处于什么安全水平四类完整性指标逐一给出结论。排查过程快不快原生的 Integrity API 返回的是晦涩的错误码和 JSON 串这个工具把它们翻译成通过/失败/未知三态图标和可读的错误提示。它的差异化优势也在这里开箱即用的可视化反馈 可复制的完整客户端实现。代码量不大但把官方 API 的请求、回调、错误处理、界面联动全部走了一遍是一份极佳的官方 API 学习范本。从点击到结果一次检测的三段旅程要理解这个工具最好的方式不是读文档而是跟着一次点击走一遍代码。项目结构非常清晰app/src/main/java/gr/nikolasspyr/integritycheck/ ├── MainActivity.java # 主界面与完整检测流程 ├── Utils.java # 打开浏览器等小工具 └── dialogs/ ├── AboutDialog.java # 关于对话框 └── licenses/ # 开源许可证展示模块用户点击主界面上的Check按钮后MainActivity会依次走完三段旅程。第一段本地造暗号——生成 nonce。nonce一次性随机数是防重放攻击的关键每次检测必须不同。源码用 50 位大小写字母加数字随机拼装// 生成一次性的随机挑战值防止令牌被重放利用 private String buildRandomChallenge() { final int challengeLength 50; final String alphabet ABCDEFGHIJKLMNOPQRSTUVWXYZabcdefghijklmnopqrstuvwxyz0123456789; StringBuilder sb new StringBuilder(challengeLength); for (int i 0; i challengeLength; i) { int index (int) Math.floor(Math.random() * alphabet.length()); sb.append(alphabet.charAt(index)); } return sb.toString(); }第二段把暗号交给 Google——请求令牌。通过IntegrityManagerFactory拿到管理器实例把 nonce 塞进IntegrityTokenRequest再注册成功/失败两个监听器。成功回调里拿到 token 后立刻转交OkHttpClient发送给你自己的服务端——注意客户端并不直接解密令牌这是安全设计的关键。第三段服务端裁决客户端翻译。服务端校验令牌后返回 JSON客户端解析出deviceRecognitionVerdict字段再逐项判断四种裁决值是否出现// 把裁决字符串翻译成 UI 可用的三态1通过 0失败 -1未知 private Integer[] decodeVerdictFlags(String rawVerdict) { return new Integer[]{ rawVerdict.contains(MEETS_BASIC_INTEGRITY) ? 1 : 0, rawVerdict.contains(MEETS_DEVICE_INTEGRITY) ? 1 : 0, rawVerdict.contains(MEETS_STRONG_INTEGRITY) ? 1 : 0, rawVerdict.contains(MEETS_VIRTUAL_INTEGRITY) ? 1 : -1 }; }注意第四项的特殊处理虚拟完整性不是所有设备都会返回所以用-1未知来区分没达标和未评估。界面上的四个图标随之切换为绿勾、红叉或灰色问号。十分钟搭起自己的检测环境安装与配置全流程想让这个工具在你自己设备上跑起来需要准备四样东西缺一不可配套的服务端Play Integrity Checker Server负责接收令牌并向 Google 换取裁决结果。可访问的服务端 URL。一台从 Play Store 安装应用的真机侧载sideload安装可能拿不到MEETS_BASIC_INTEGRITY和MEETS_STRONG_INTEGRITY两项结果。Google Cloud 项目配置通过 Play Console 关联并开启对应的完整性级别。环境要求方面项目使用 Java 17、Android SDK 21 以上minSdkVersion 21targetSdkVersion 36依赖包括appcompat 1.7.1、material 1.12.0、constraintlayout 2.2.1、play:integrity 1.4.0和okhttp 4.12.0。配置和构建只需三步第一步克隆仓库git clone https://gitcode.com/gh_mirrors/pl/play-integrity-checker-app cd play-integrity-checker-app第二步写入服务端地址。在项目根目录的local.properties中新增一行API_URLhttps://my-awesome-server-url.com构建脚本会在编译期读取这个值通过buildConfigField注入到BuildConfig.API_URL你在代码里直接用即可。第三步构建安装./gradlew assembleDebug生成 APK 后安装到已登录 Play Store 的真机上就可以开始检测了。四盏状态灯背后完整性级别的判定逻辑主界面的核心是一个由四个图标组成的状态面板分别对应 Google Play Integrity API 的四个裁决维度。理解它们就等于理解了整个工具的价值。状态灯裁决标记通俗含义典型用途基本完整性MEETS_BASIC_INTEGRITY设备未被明显篡改未检测到 Root普通应用的基线安全门槛设备完整性MEETS_DEVICE_INTEGRITY运行的是官方认证系统未被解锁刷机金融、支付类 App 的系统级验证强完整性MEETS_STRONG_INTEGRITY通过硬件级密钥证明固件未被改动高敏场景如数字身份、企业管控虚拟完整性MEETS_VIRTUAL_INTEGRITY是否运行在模拟器等虚拟环境中游戏防作弊、自动化攻击识别界面实现上四个图标和文字被一个ConstraintLayout的Flow助手编排成两列排布其中虚拟完整性那一组默认隐藏只有服务端确实返回了该字段时才显示——这就是代码里-1状态对应的 UI 行为没评估就不误导用户这个细节很值得借鉴。除了四盏灯右上角菜单还藏着两个实用入口Show JSON response弹出完整的原始 JSON 响应支持一键复制到剪贴板。当你想看裁决以外的扩展字段时这是最直接的窗口。Learn what the results mean跳转官方文档页面快速查证每个标记的确切语义。错误码地图当检测失败时如何自救这个项目最干货的部分其实是它的错误处理。MainActivity里维护了两张大型映射表一张把错误码翻译成可读名称一张把错误码对应到解决建议。拿最常见的几种来说错误码含义建议动作API_NOT_AVAILABLEIntegrity API 在当前设备不可用更新 Play StoreNETWORK_ERROR找不到可用网络检查网络连接TOO_MANY_REQUESTS请求过于频繁被限流稍后再试降低调用频率PLAY_STORE_NOT_FOUND未安装官方 Play Store安装官方正版 Play StoreNONCE_TOO_SHORTnonce 少于 16 字节检查 nonce 生成逻辑APP_UID_MISMATCH调用方 UID 与包管理器不一致高度可疑可能遭遇攻击组装错误信息时代码会把错误码 原因 解决方案三段拼成一条完整提示弹出对话框告知用户。这种错误码→原因→对策的三层映射结构本身就是一份可复用的工程模板你完全可以照搬这套模式用在自己的网络请求错误处理上。三个拿来即用的接入场景与扩展思路场景一金融类 App 的安全门槛。支付、转账类操作要求在官方系统 未被 Root的环境下进行。参考工具的做法把完整性校验放在敏感操作前先取 token → 服务端裁决 → 只有强完整性通过才放行交易。注意校验必须放在服务端完成客户端拿到的裁决结果不可全信。场景二游戏与社区应用的模拟器拦截。利用MEETS_VIRTUAL_INTEGRITY判断玩家是否跑在模拟器里配合行为分析识别自动化脚本。实现上可以扩展一个简单的分级策略public IntegrityLevel decideRequiredLevel(AppCategory category, boolean isSensitiveAction) { if (isSensitiveAction) { return IntegrityLevel.STRONG; // 敏感操作一律从严 } switch (category) { case GAME: return IntegrityLevel.VIRTUAL; // 游戏先防模拟器 case PAYMENT: return IntegrityLevel.DEVICE; // 支付至少设备级 default: return IntegrityLevel.BASIC; } }场景三企业设备合规初筛。在内部测试阶段用这个工具批量确认测试机状态是否达标避免测试机本身已 Root导致线上问题定位错方向的尴尬。这也是它作为开发期验证工具最朴素的用法。少走弯路的实践清单该做的与别踩的坑以下经验大部分来自项目 README 中作者的原话警告含金量很高。✅ 应该做把完整性校验放到服务端完成客户端只负责取 token 和展示结果。将完整性请求与其他请求配对发送例如和登录请求绑定即使 App 被逆向没有有效令牌也无法继续。先用本工具确认你的设备与 Google Cloud 配置是否就绪再开始写自己的校验代码。处理错误码时参考本项目的三层映射模式把原因和解决方案直接写给用户看。❌ 避免做不要在正式产品里把完整 JSON 原样下发给 App——只回传 yes/no 就足够。不要指望侧载的调试包能测出全部结果MEETS_BASIC_INTEGRITY与MEETS_STRONG_INTEGRITY通常要求来自 Play Store 的正式分发渠道。不要把 nonce 复用或写死长度也不要低于 16 字节否则会触发NONCE_TOO_SHORT。常见问题速查现象可能原因处理方式基本/强完整性始终失败设备已 Root 或系统被修改恢复官方系统后再测提示更新 Play StorePlay Store 版本过旧升级到最新官方版本请求报错 429/限流短时间请求过多降低频率或稍后重试服务端返回空响应服务端未正确返回 JSON检查 Play Integrity Checker Server 配置边界感与下一步给工具也给自己留余地最后要说的是这个项目最难得的一点它清楚地知道自己的边界。README 里明确写着如果你要在自己的应用里实现 Integrity API不应该照抄这种客户端展示完整 JSON 的方式。它把自己定位成一个教学与排查工具而不是生产级安全方案的模板——这种坦诚反而让它的学习价值更高。项目采用 MIT 协议开源代码结构精简非常适合二次学习想看懂官方 API 怎么对接读MainActivity想学 Material 组件和状态管理读activity_main.xml与许可证模块的LicensesViewModel。后续你完全可以在这个基础上扩展增加历史记录、导出检测报告、接入更多设备标签字段甚至把判定逻辑抽成可复用的 SDK。回到开头的问题你的应用真的安全吗答案不能靠感觉要靠可验证的检测链路。Play Integrity API Checker 提供的正是这样一条从原理到实践的完整路径——读懂它你就读懂了 Android 设备信任验证的骨架。【免费下载链接】play-integrity-checker-appGet info about your Device Integrity through the Play Intergrity API项目地址: https://gitcode.com/gh_mirrors/pl/play-integrity-checker-app创作声明：本文部分内容由AI辅助生成（AIGC），仅供参考