macOS 有试用期的应用验证策略问题请教

一般收费并且有免费试用期的 APP 有两种验证策略：

应用安装时将安装日期或到期日期写到本地
使用唯一 id 来联网验证

本地验证

这种方法比较简陋，可以用脚本等方法篡改使用期限。

联网验证

这种方法应该可以躲避一些脚本，但获取唯一 id 是个难题，这也是我提出本问题的原因。

用以下代码可以获取一个系统的 id：

- (NSString *)getSystemID {
    io_service_t platformExpert = IOServiceGetMatchingService(kIOMasterPortDefault,IOServiceMatching("IOPlatformExpertDevice"));
    if (!platformExpert)
        return nil;

    CFTypeRef serialNumberAsCFString = IORegistryEntryCreateCFProperty(platformExpert,CFSTR(kIOPlatformUUIDKey),kCFAllocatorDefault, 0);
    if (!serialNumberAsCFString)
        return nil;

    IOObjectRelease(platformExpert);
    return (__bridge NSString *)(serialNumberAsCFString);;
}

获取的 id 和电脑打开系统报告看到的 Hardware UUID 是一样的，我认为这里的 Hardware UUID 字段有歧义，按我的理解应该是 UDID.

关于 UUID 和 UDID：

UUID 是电脑给应用配置的唯一 id，当 app 卸载重装，这个 id 会变
UDID 是电脑唯一 id，一般情况禁止使用，使用它不能上架市场

我在研究另一款试用软件时候（仅学习研究用），发现它使用的 id 并不是这个 UDID，而且卸载重装时候发现，这个 id 还是之前的 id。既然不是 UDID，那么它有可能将 UUID 保存到 keychain 里来持久化，但是去 keychain 里并没有找到。

所以好奇它是如何做到的，在联网验证时候，一般使用哪一种 id ？

以上的测试软件是 Sip, 使用 charles 抓包验证此 id 非 UDID：

我的电脑 Hardware UUID 是 13C2951E-2B99-510A-BEF4-xxxxxxxxxx

ihwbunny

2020-02-26 13:28:29 +08:00

我想一种逻辑可以这样:

每次运行
. 判断证书, 如果有效, 就继续运行
. 如果没有有效的证书, 就获得本机 ID (不管什么硬件 ID)
. 上传到服务器, 服务器根据这个 ID, 判断:
1. 没有记录, 生成一个有时效的证书, 比如试用 30 天, 发给客户端, 并保留硬件 ID 和证书等数据
2. 有记录, 而且证书没失效, 发给客户端, 客户端可以继续试用
3. 有记录, 而且失效, 告诉客户端购买
. 客户端把证书保留在 keychain 中
. 如果本地证书已经失效, 告诉客户端购买

这个的好处是, 无论有没有网络都可以, 而且时间和证书发放都掌握在服务器端.