Google 应用内购买令牌格式问题

Question

常规 Google 购买令牌格式如下所示：

minodojglppganfbiedlabed.AO-J1OyNtpooSraUdtKlZ_9gYs0o20ZF_0ryTNACmvaaaG5EwPX0hPruUdGbE3XejoXYCYzJA2xjjAxrDLFhmu9WC4fvTDNL-RDXCWjlHKpzLOigxCr1QhScXR8uXtX8R94iV6MmMHqD

现在我得到了一个奇怪的令牌，看起来像这样：

nmdwkbdkikkamkahxjnsnshb

这显然来自黑客工具。但是，它变得很奇怪，因为当您将可疑令牌附加到有效令牌的前缀时：

nmdwkbdkikkamkahxjnsnshb.AO-J1OyNtpooSraUdtKlZ_9gYs0o20ZF_0ryTNACmvaaaG5EwPX0hPruUdGbE3XejoXYCYzJA2xjjAxrDLFhmu9WC4fvTDNL-RDXCWjlHKpzLOigxCr1QhScXR8uXtX8R94iV6MmMHqD

令牌生效。它应该是无效的，因为整个令牌不存在或者我错了吗？有人经历过吗？请指教。谢谢。

Answer 1

有趣的发现，你的问题引起了我的好奇，所以我做了一些挖掘。我怀疑前缀看起来就像你从 Google 收到的电子邮件收据中的 订单号 ，所以我交叉检查和宾果游戏，它们是：

购买代币：gaaiealkdndcconacjhcmpcf.AO-J1OzF_av9Nl1ViLxR7u7vRlw7OXq32n35GkOEhrMbAfm3VV4g14IWgOg9kxFmJEF58MstHTEGRKKbS9oIPOkEy-EGzcAaItkR3P8_l7DP-6OCZVZAPO4

每次续订时订单号都会更改，发送到 API 我在电子邮件收据中附有后缀的任何订单号都会按预期进行验证。我还尝试了一些随机的 24 字符 alpha 字符串，它们也有效，所以 Google 一定不要太在意前缀；这只是他们感兴趣的后缀。