서버 영수증 검증

– 클라이언트에서 과금 쪽 우회 방법의 하나로 이미 다른 게임 또는 사용된 적이 있는 영수증을 다시 전송하는 방법으로, 이 경우 단순 애플 영수증 검증만으로는 해결되지 않으므로 영수증 내용을 서버에서 판단해야 한다. 과금아이템과 영수증 과금아이템 일치성 여부 등을 판단해야 한다.

– 아이템 중복 지급은 단순 영수증 검증만으로는 해결이 되지 않으며, 게임 서버에서 영수증 검증 후 전달되는 데이터에 유니크한 값을 저장하여 중복지급 여부를 판단해야 한다. 지급이 성공된 유니크한 값에 대한 지급은 게임 서버 쪽에서 막아야 한다. (마켓에 따른 유니크한 값은 아래 내용에 설명)

– 캐시 아이템 지금과 영수증 사용 체크는 하나의 트랜젝션으로 묶여야 해서 Hive에서는 처리 할 수 없고 게임 서버에서 구현해야 한다.
– 영수증 검증은 1회 이상 요청하더라도 영수증 자체가 유효하다면 항상 TRUE를 리턴한다.

– Google: 최초에 클라이언트로 날라오는 영수증 데이터의 packageName 항목에서 앞 3자리가 appid의 앞 3자리와 같은지 체크
– Apple: 영수증 검증 API 호출 후 날라오는 결과 json 에서, product_id 항목의 앞 3자리가 appid의 앞 3자리와 같은지 체크

– Key 값
i. Google: 테스트 계정으로 구매 테스트 시 구글에서 orderId가 영수증에 포함되지 않도록 변경이 되었음
(실 계정에서는 orderId 영수증에 포함되어 있음)
아래 2가지 방법 중 하나를 적용하거나 2개 다 적용 하여 영주증 중복 체크를 진행할 수 있음

1. 영수증 내 다른 유니크한 값인 purchaseToken 값을 사용하여 중복 체크
2. 영수증 내 developerPayLoad 값의 addtionalInfo 값을 사용하여 중복 체크
(addtionalInfo값은 클라이언트가 Purchase 시 넣을 수 있는값으로 유니크한 값을 넣으면 영수증에 포함됨)
예)유니크한 값: (유저ID + 시간정보) 혹은 인덱스 counter 등등 게임에 맞는 방법으로 유니크한 값 생성
참고: C2SModuleInapp_Purchase

* 유저가 cs로 실제 구매 영수증을 보냈을 때는 orderid값이 있어서 cs 대응을 위해서는 orderid도 남겨야 함

(주의) 구글 promo code로 구매가 적용되었을 경우
: 보통 프로모션용 pid를 새로 생성하여 진행하게 되는데, 이 경우 영수증에는 orderId와 developerPayLoad자체가 없으며, 결국 영수증을 보면 pid를 통해 promo code로 구매한지를 알 수 있게 됨.
일반적으로 promo code로 지급되는 상품은 유저당 한번만 지급하게 하기 때문에 유저별로 이 pid로 상품을 지급한 적이 있는지 체크하면 중복 지급을 막을 수 있음

ii. Apple: 영수증 검증 API 호출 후 날라오는 결과 json 에서 transaction_id 값

– 해당 Key 값을 기준으로 해당 Key 값을 DB 에 insert 한 후 캐시 아이템 지급 처리 (이 두 가지는 트랜잭션 처리)
i. 만약 이미 insert된 Key 값이면 영수증 중복 사용 해킹 case 이므로 캐시 아이템 지급하지 않고 에러 처리

– IAP 과금 성공 후 받은 영수증 데이터 json 타입이 json object가 아닌 string type으로 전송해야 한다.

– 애플에서 제공하는 데이터가 json object 가 아닌 형태로 넘어오기에, 양쪽 모두 동일한 구현이 가능하도록 string type 으로 넘기도록 구현

– 애플 데이터 형태는 json이 아닌 name 과 value 구분을 콜론(:)이 아니라 equal(=)로 전송한다.

– 내부적으로 string을 받아서 서버에서 처리하는 구조로 되어 있다.

– 위와 같은 데이터 연동 구조를 맞추기 위해선 아래와 같은 변환 순서에 맞춰 영수증 데이터를 변환해야 함

1. 역슬래시(＼)를 더블 역슬래시(＼)로 치환
2. 따옴표(“)를 역슬래시+따옴표 (＼”)로 치환
3. 이를 저희 API 를 호출하실 때 transaction 부분에 string type으로 세팅
( 가장 바깥의 중괄호 {} 바깥에 큰따옴표 추가 )
( 즉, json format 이 아닌 애플 영수증 데이터를 따로 파싱을 하여 가공하지 않아도 된다. )

– 전송방식 : HTTPS POST 방식
– Data Format : JSON
– HTTP Header : Content-Type:text/html

– 테스트 서버 : http://mdev.com2us.net/common/billing/verify.c2s
– 상용 서버 : http://s.qpyou.cn/common/billing/verify.c2s
– 샌드박스 서버 : http://sandbox-s.com2us.net/common/billing/verify.c2s