Android设备完整性检测终极指南如何用Play Integrity API Checker排查被Root的手机【免费下载链接】play-integrity-checker-appGet info about your Device Integrity through the Play Intergrity API项目地址: https://gitcode.com/gh_mirrors/pl/play-integrity-checker-app凌晨一点某金融App的后台日志里突然出现一连串高频转账请求来源设备显示Google Pixel 7可那台手机从未上架过。运营同学的第一反应是系统出bug了而熟悉安卓安全的工程师一眼就看出这是模拟器伪造的设备信息正在试探风控漏洞。这场攻防的胜负手就藏在Android设备完整性检测这四个字里。今天要介绍的Play Integrity API Checker正是帮你把这类风险挡在门外的开源实战工具——它能直连 Google 官方 Play Integrity API一次性查清手机是否被 Root、系统是否被篡改、运行环境是否可信。一、先弄明白为什么手机身份证会被冒用一句话理解 Play Integrity它让 Google 给你的设备签发一张动态身份证每次校验都重新盖章想伪造几乎不可能。普通 App 判断设备是否可信通常靠设备指纹型号、IMEI、系统版本。但指纹是静态的模拟器可以伪装、Root 工具可以篡改、Xposed 框架可以 Hook攻击者改几个字段就能骗过去。Play Integrity API 的思路完全不同它由 Google Play 服务在设备本地完成安全评估生成一串加密签名的 Token再由你的服务器端调用 Google 接口解密验证。整个链路里设备自己无法自证清白结论掌握在 Google 手里。这就是它比传统指纹方案可靠的本质原因。这个开源项目把上述链路做成了一个开箱即用的 Android 应用点一下按钮就能看到本机在四道安全关卡上的过检成绩并展示服务器返回的完整 JSON 原始数据。它既是测试工具也是学习 Play Integrity API 集成步骤的活教材。二、拆开源码看真相一次完整性检测的完整旅程与其看文档背书不如直接跟着 MainActivity.java 的代码走一遍。整个过程只有三步造一次性口令 → 向 Google 要 Token → 发给自己的服务器换结论。第一步生成一次性口令Nonce// 每次请求都生成全新的50位随机字符串 // 防止攻击者录制旧Token重放攻击 private String generateNonce() { int length 50; String nonce ; String allowed ABCDEFGHIJKLMNOPQRSTUVWXYZabcdefghijklmnopqrstuvwxyz0123456789; for (int i 0; i length; i) { nonce nonce.concat(String.valueOf(allowed.charAt( (int) Math.floor(Math.random() * allowed.length())))); } return nonce; }这串随机数会写进 Token 里服务器拿到后要确认这确实是我刚才发出去的那次请求从而杜绝录屏重放。第二步向 Google 换取签名 Token项目调用官方IntegrityManager把 Nonce 塞进IntegrityTokenRequest异步拿回 Token。注意这里是标准的Task回调成功就把 Token 交给自己的后端失败则进入错误处理分支。第三步解析服务器返回的判定结果// 把服务器返回的完整性判定字符串翻译成可展示的状态 // 1通过 0未通过 -1接口未返回该项 private Integer[] parseValues(String integrity) { return new Integer[]{ integrity.contains(MEETS_BASIC_INTEGRITY) ? 1 : 0, integrity.contains(MEETS_DEVICE_INTEGRITY) ? 1 : 0, integrity.contains(MEETS_STRONG_INTEGRITY) ? 1 : 0, integrity.contains(MEETS_VIRTUAL_INTEGRITY) ? 1 : -1 }; }四个判定结果在界面上对应四盏红绿灯从模糊到严格构成了完整的 Android 设备完整性检测体系。三、四道安全关卡分别查什么从没被越狱到硬件级可信把 Play Integrity 的四个判定想象成机场安检的四道闸机越往后越严格判定结果查的是什么常见失败原因适合谁用MEETS_BASIC_INTEGRITY设备基本可信未发现明显篡改手机已 Root、Bootloader 已解锁所有应用的基础门槛MEETS_DEVICE_INTEGRITY运行的是官方认证的系统镜像刷了第三方 ROM、系统签名被改金融类 App 的硬性要求MEETS_STRONG_INTEGRITY硬件级完整性设备未被深度入侵内核被改、验证被绕过银行、钱包等高敏场景MEETS_VIRTUAL_INTEGRITY是否运行在模拟器/虚拟环境中模拟器、云手机、自动化脚本游戏防作弊、风控反欺诈 一个容易忽略的细节项目里虚拟完整性这栏默认隐藏只有服务器返回了该字段才显示——因为旧版 API 不一定包含它。这也提醒我们不同设备的判定字段可能不同解析时必须做容错。四、三步完成设备完整性检测环境配置这个项目是客户端 服务器的完整闭环动手跑通需要三件套准备一台配套服务器项目依赖 Play Integrity Checker Server 做 Token 解密与结果返回你需要把它部署到一台支持 HTTPS 的机器上。在local.properties里填上服务器地址API_URLhttps://my-awesome-server-url.com让应用在 Play Store 上架并在 Play Console 中把 Play Integrity 关联到 Google Cloud 项目同时开启 BASIC 与 STRONG 两项判定权限。然后执行./gradlew assembleDebug就能构建出调试包。⚠️ 注意若你是侧载安装而非从 Play Store 安装将拿不到MEETS_BASIC_INTEGRITY和MEETS_STRONG_INTEGRITY的判定结果——这是 Google 的机制限制不是项目 bug。五、把错误翻译成人话异常处理机制有多贴心新手第一次跑通总会撞上几个错误码。这个项目把 Google 官方 API 的常见异常全部翻译成了三行式提示错误码 → 原因 → 解决方案体验相当成熟。典型错误码中文含义该怎么做API_NOT_AVAILABLE设备上 Integrity API 不可用更新 Play Store 与 Play 服务NETWORK_ERROR无可用网络检查网络连接后重试TOO_MANY_REQUESTS请求过于频繁被限流降低调用频率稍后重试PLAY_STORE_NOT_FOUND设备没有官方版 Play Store安装官方 Play StoreNONCE_TOO_SHORT一次性口令不足16字节加长 Nonce 到 50 位左右APP_UID_MISMATCH调用方 UID 与安装记录不一致⚠️ 警惕这可能是攻击信号对应的错误处理源码集中在 MainActivity.java 的getErrorReason与getErrorSolution两个方法里逻辑清晰非常适合抄作业。六、两个必须知道的坑作者亲笔写在 README 里这个项目的 README 有两段加粗警告含金量极高直接决定你集成时会不会走弯路坑一不要把整个 JSON 结果发给 App很多开发者图省事把服务器解密后的完整 JSON 原样回传给客户端。作者明确反对这种做法——正确姿势是服务器只回传yes/no结论。原因很简单JSON 里包含requestDetails等敏感信息App 一旦被逆向攻击者就能摸清你的校验逻辑。坑二别把完整性校验做成孤立请求更稳妥的做法是把完整性 Token 与业务请求绑定比如和登录请求一起发送。这样即使用户逆向出 App也无法绕过校验拿到业务数据——因为没带合格 Token 的请求根本不成立。这两条原则是 Play Integrity API 集成步骤里最容易被忽略、却最影响安全效果的部分。七、按业务场景选择验证强度的实操建议不同业务对安全等级的要求天差地别无脑堆最强校验只会拖慢用户体验。参考如下分层策略 金融与支付场景必查项BASIC DEVICE STRONG 三连建议在转账、改密、提现等敏感操作前实时校验策略三项全过才放行任一失败直接拒绝并提示设备环境不安全 游戏防作弊场景重点项VIRTUAL BASIC建议登录时与关键对局节点各校验一次策略检测到模拟器或虚拟环境直接限制匹配或并入模拟器专用匹配池 企业移动办公场景基础项BASIC DEVICE建议接入 MDM 设备管理把校验结果纳入合规审计策略不达标设备只能访问低敏应用并生成安全报告一个通用原则在关键动作前校验而不是应用启动时校验一次就完事。防住进门不如防住做坏事动态多次校验才能堵住中途篡改。八、避开这些坑把验证成功率拉满综合项目源码与官方文档整理出这份避坑清单✅服务器必须启用 HTTPSToken 在明文传输下等于白签务必全链路加密✅API 密钥只在服务端持有客户端永远不要内置任何密钥密钥只存在于你的后端✅控制请求频率为每个设备设置限流避免触发 TOO_MANY_REQUESTS 导致误伤正常用户✅做缓存与重试对高频业务可缓存 5 分钟内的校验结果网络抖动时自动重试✅更新依赖Play 服务与 Play Store 版本过旧会直接导致校验失败客户端要引导用户升级❌不要用纯随机数做 Nonce项目里用Math.random()仅为演示生产环境请用SecureRandom❌不要相信客户端回传的任何校验结论结论必须由服务器端解析 Token 得出九、这盏灯能点亮多远进阶玩法与参与方式作为 MIT 协议的开源项目它的扩展空间相当大几个值得动手的方向做安全报告中心把每次校验的 JSON 结果落库形成设备安全的可视化报表接入 CI/CD在自动化测试流水线里执行完整性校验作为发版前的安全检查关卡做命令行工具把校验逻辑抽象成 REST API供后端服务直接调用提交 Issue 与 PR发现新的异常码、补充多语言文案、优化 UI 交互都是极好的贡献入口如果你也想亲手给手机做一次安全体检直接克隆仓库开跑即可git clone https://gitcode.com/gh_mirrors/pl/play-integrity-checker-app写在最后回到开头那个深夜告警的场景——如果那款金融 App 集成了这套完整性校验模拟器发出的请求在第一步就会被拦截因为设备根本无法通过 BASIC 判定。Android 设备完整性检测不是锦上添花而是移动应用安全的基础设施。Play Integrity API Checker 的价值在于把这条链路的每个环节都摊开给你看Token 怎么签、错误怎么解、判定怎么读、防坑怎么防。读透它你收获的不只是一个工具而是一整套设备可信判断的工程思维。【免费下载链接】play-integrity-checker-appGet info about your Device Integrity through the Play Intergrity API项目地址: https://gitcode.com/gh_mirrors/pl/play-integrity-checker-app创作声明：本文部分内容由AI辅助生成（AIGC），仅供参考