Extern Android appaankoop controleren

[Koenvh]

Ik heb een betaalde Android app die in Google Play aangeboden wordt, en dat werkt an sich prima. Nu wil ik als toevoeging ook een webinterface maken (sommige dingen configureren is makkelijker op een computer dan op zo'n klein schermpje), maar ik wil natuurlijk alleen toegang tot die webinterface geven aan mensen die app ook daadwerkelijk gekocht hebben, en daar loop ik vast.

Mijn plan was om mensen te vragen om aan te melden via een Google account, en vervolgens met die token de Play Store-aankopen op de server op te vragen, te controleren of mijn app ertussen staat, en vervolgens toegang tot de website geven. Probleem is dat Google geen externe API heeft om te controleren of een gebruiker de app gekocht heeft of niet (wel wat dingen die in Android zelf werken, maar niet iets wat ik op de server kan controleren).

Dus nu is mijn vraag of iemand interessant idee heeft om toch te kunnen controleren dat de app is aangeschaft.

[Xander]

De controle op het Android toestel / in de app doen en dan een eenmalige inlogcode voor je site genereren?

[Koenvh]

@Xander Aan zoiets zat ik ook al te denken, alleen is dan het probleem dat als iemand de app koopt, de code gebruikt, en dan binnen twee uur de app weer restitueert, dan blijft de code/website natuurlijk actief.

[Matis]

Wat een aantal van de apps doen die ik op mijn telefoon geïnstalleerd heb; ze starten zelf een webserver geven het IP adres door waarop ze luisteren en dan kan ik, mits binnen hetzelfde subnet, direct op m'n telefoon via (bijvoorbeeld de pc) de app configureren.

Één van de voorbeelden: nzbmanager, zij noemen het remote setup.

[ Voor 4% gewijzigd door Matis op 15-09-2019 18:43 ]

[D4NG3R]

Koenvh schreef op zondag 15 september 2019 @ 16:52:
@Xander Aan zoiets zat ik ook al te denken, alleen is dan het probleem dat als iemand de app koopt, de code gebruikt, en dan binnen twee uur de app weer restitueert, dan blijft de code/website natuurlijk actief.

Laat de token vervallen wanneer de gebruiker te lang inactief is in de app? Legitieme gebruikers zullen bij (lange) inactiviteit gewoon een nieuwe token kunnen invullen, gebruikers welke geen toegang meer horen te hebben niet.

[ Voor 16% gewijzigd door D4NG3R op 15-09-2019 18:48 ]

[DJMaze]

Stop de zxing library in je app. Login op je website door een QR te scannen met de app.
Zo doet web.whatsapp het ook

[Koenvh]

@Matis Nadeel daarmee is dat de app ook voor niet-technische mensen is, en met de veelvoud aan firewallconfiguraties wordt het lastig om te garanderen dat het ook bij iedereen werkt. En om dat het probleem te duiden.. Dat probleem heb ik op dit moment al bij een andere Windows-applicatie die z'n eigen webserver opstart, bij 99% werkt het zonder problemen, maar bij die 1% waarbij het niet werkt kost het veel tijd om de oorzaak te vinden.

@D4NG3R @DJMaze Zoiets dacht ik ook al aan. Echt ideaal is 't niet, want je moet dan wel je telefoon nog bij de hand hebben, maar 't werkt wel. Vooral de QR-code scannen vind ik wel een goede

[D4NG3R]

Koenvh schreef op maandag 16 september 2019 @ 20:54:
@Matis Nadeel daarmee is dat de app ook voor niet-technische mensen is, en met de veelvoud aan firewallconfiguraties wordt het lastig om te garanderen dat het ook bij iedereen werkt. En om dat het probleem te duiden.. Dat probleem heb ik op dit moment al bij een andere Windows-applicatie die z'n eigen webserver opstart, bij 99% werkt het zonder problemen, maar bij die 1% waarbij het niet werkt kost het veel tijd om de oorzaak te vinden.

@D4NG3R @DJMaze Zoiets dacht ik ook al aan. Echt ideaal is 't niet, want je moet dan wel je telefoon nog bij de hand hebben, maar 't werkt wel. Vooral de QR-code scannen vind ik wel een goede

Valt toch wel mee? Ik weet niet wat de toepassing is, maar zullen (de meeste) gebruikers wekelijks gebruik maken van het webinterface? Zo ja kan je het token prima na een week laten vervallen wanneer de gebruiker in die periode niet actief is geweest. Ook bij QR codes zal je met tokens werken.

[Matis]

Koenvh schreef op maandag 16 september 2019 @ 20:54:
@Matis Nadeel daarmee is dat de app ook voor niet-technische mensen is, en met de veelvoud aan firewallconfiguraties wordt het lastig om te garanderen dat het ook bij iedereen werkt. En om dat het probleem te duiden.. Dat probleem heb ik op dit moment al bij een andere Windows-applicatie die z'n eigen webserver opstart, bij 99% werkt het zonder problemen, maar bij die 1% waarbij het niet werkt kost het veel tijd om de oorzaak te vinden.

Garanderen kun je het inderdaad niet, dat is waar. Android zelve heeft geen firewall, dus iedere poort zou, mits binnen hetzelfde subnet, op de telefoon moeten kunnen.

Het is verbazingwekkend hoe "technisch" mensen kunnen zijn met de juiste uitleg.
Het scannen van een QR code klinkt misschien triviaal, ik weet zeker dat ook daar 1% van de mensen (om met jouw woorden te spreken ) het om een goede of slechte reden niet lukt.

Enniehoe, ik ben blij dat we je in ieder geval handvatten hebben kunnen geven om je applicatie verder uit te bouwen

[DJMaze]

Matis schreef op dinsdag 17 september 2019 @ 06:41:
Garanderen kun je het inderdaad niet, dat is waar. Android zelve heeft geen firewall, dus iedere poort zou, mits binnen hetzelfde subnet, op de telefoon moeten kunnen.

Tenzij je op 4G zit bij provider X, dan blijk je opeens een shared IP te hebben met andere telefoons en dus problemen

[Matis]

DJMaze schreef op dinsdag 17 september 2019 @ 11:58:
Tenzij je op 4G zit bij provider X, dan blijk je opeens een shared IP te hebben met andere telefoons en dus problemen

Dan zit je toch niet in hetzelfde subnet

Je zou ook nog kunnen controleren op een A, B of C reeks.

[Verwijderd]

misschien een rare suggestie, maar waarom niet een update uitrollen voor je huidige applicatie waarin je een 'fingerprint' maakt van het toestel die je app heeft gekocht en dan doorsturen naar jouw eigen server die de webinterface aanbied?

En dan zoals eerder gezegd een QR code scannen en / of een gegenereerde pin op je web pagina laten zien die de gebruiker intoetst op het toestel?

[Shinji]

Matis schreef op dinsdag 17 september 2019 @ 12:51:
[...]

Dan zit je toch niet in hetzelfde subnet

Je zou ook nog kunnen controleren op een A, B of C reeks.

En het endpoint is de enige plek om verkeer te blokkeren? Veel bedrijfsnetwerken staan geen cliënt naar cliënt verkeer toe dus dan hang je al.

En wat zou een controle op een A, B of C reeks je vertellen dan?