服务端验证Google Pay订单的两种方式

迈不过友情╰ 2024-03-23 12:52 42阅读 0赞

**Google Pay主要支付流程：**

**1.手机端向服务端发起支付，生成预订单，给手机端返回生成的订单号**

**2.手机端向Google发起支付（传入本地服务器生成的订单号）**

**3.Google服务器将支付结果返回给手机端（因这边用到的是消耗型的产品，所以购买后必须要通知gp我已经消耗了这次交易）**

**4.手机端向服务端发送校验请求，校验通过后即可处理订单（服务端重试校验，发货，保证订单正常发货成功）**

当客户端支付成功后，客户端将支付订单的token 传给服务端，服务端进行再次校验，服务端校验订单有两种方式：

> #### 1.引入google apis 调取Google Api 进行验证 ####
> 
> #### 2.直接调用Google 提供的API接口去验证 ####
> 
> 两种验证方式都需要一些配置和相应参数，下面具体讲解

### **验证方式 一 ： 引入google apis 调取Google Api 进行验证**  ###

developer文档地址:[https://developers.google.com/identity/protocols/oauth2/service-account?hl=zh-cn\#delegatingauthority][https_developers.google.com_identity_protocols_oauth2_service-account_hl_zh-cn_delegatingauthority]

**1.去Google Play Console 选择设置中的API 权限：**[https://play.google.com/console/u/0/developers/6365974680746954105/api-access][https_play.google.com_console_u_0_developers_6365974680746954105_api-access]

![887bc8fd06e84021bde83000e09c866d.jpeg][]

![1b623d20da2f4219aac4cc43c9295435.jpeg][]

2.第一次进来没有 Google Play Console Developer，这个时候就需要去Google Cloud Platform 后台创建服务账号.首先去Google Cloud 后台[https://console.cloud.google.com/][https_console.cloud.google.com] 搜索：Google Play Console Developer 点击启用即可，然后去创建服务账号：

![6bcbe84e92594abf8d143a18a818546d.jpeg][]

![78cff42820224f6caa4bb0a92c0eee43.jpeg][]

![ce13b78bfe4f4fb5a6a09ef3322df38e.png][]

![2b25cd72f0c949b3b19ce73a5a69bbef.png][]

![5762050713fc4c3aaecf2f4efe21c9af.png][]

到这里就把Google Play Console Developer创建好了，最后一步也拿到了对应的json了

3.回到Google Play Console 后台 把刚才创建的Google Play Console Developer的服务账号也加入到用户和权限中

![b7802ae234df450ea49926471652b76f.png][]

然后将服务账号权限，可以直接给管理员admin permission 也可以给 财务权限：

![28963397f3464ee0885a80ea1ad7b740.png][]

点击API权限中的 查看Play管理中心权限，可以查看应用权限和账号权限，切记要给与对应Project的permission

![181d4b82c5784ddf973a8bce18af048d.png][]

4.上面三步Google Play Console Developer的环境配置好了，下面就开始实现服务端订单的校验了，Java服务端处理

首先将google apis 接入到项目：

> <project>  
> <dependencies>  
> <dependency>  
> <groupId>com.google.apis</groupId>  
> <artifactId>google-api-services-androidpublisher</artifactId>  
> <version>v3-rev20211125-1.32.1</version>  
> </dependency>  
> </dependencies>  
> </project>

校验代码：

@RestController
    public class GoogleController {
     
        //	packageName为应用程序包名、productId商品id、purchaseToken谷歌返回的收据
        @PostMapping("/")
        public ProductPurchase checkOrder(@RequestBody GooglePayDto googlePayDto,
                                  HttpServletRequest requestDto) throws IOException, GeneralSecurityException {
            //使用服务帐户Json文件获取Google凭据
            List<String> scopes = new ArrayList<>();
            scopes.add(AndroidPublisherScopes.ANDROIDPUBLISHER);
            ResourceLoader resourceLoader = new DefaultResourceLoader();
            Resource resource = resourceLoader.getResource("classpath:static/刚下载的json文件，这里放到了static目录下");
            GoogleCredential credential = GoogleCredential.fromStream(resource.getInputStream())
                    .createScoped(scopes);
    //        使用谷歌凭据和收据从谷歌获取购买信息
            HttpTransport httpTransport = GoogleNetHttpTransport.newTrustedTransport();
            JacksonFactory jsonFactory = new JacksonFactory();
            AndroidPublisher publisher = new AndroidPublisher.Builder(httpTransport, jsonFactory, credential)
                    .setApplicationName("应用程序名").build();
            AndroidPublisher.Purchases purchases = publisher.purchases();
            final AndroidPublisher.Purchases.Products.Get request = purchases.products().get(googlePayDto.getPackageName(), googlePayDto.getProductId(),googlePayDto.getPurchaseToken());
            System.out.println("==============="+request+"================");
            final ProductPurchase purchase = request.execute();
            //处理业务
            Integer purchaseState = purchase.getPurchaseState();
            if (!GooglePayStatus.PURCHASED.getValue().equals(purchaseState) &&!GoogleConsumptionStatus.YET_TO_BE_CONSUMED.getValue().equals(purchase.getConsumptionState())) {
                log.info("==========>订单校验【成功】");
            } else {
                log.info("==========>订单校验【失败】");
            }
            return purchase;
        }
    }

public class GooglePayDto {
     
        String packageName;
        String productId;
        String purchaseToken;
     
        public String getPackageName() {
            return packageName;
        }
     
        public void setPackageName(String packageName) {
            this.packageName = packageName;
        }
     
        public String getProductId() {
            return productId;
        }
     
        public void setProductId(String productId) {
            this.productId = productId;
        }
     
        public String getPurchaseToken() {
            return purchaseToken;
        }
     
        public void setPurchaseToken(String purchaseToken) {
            this.purchaseToken = purchaseToken;
        }
    }

最后开始Test:

传入三个参数

packageName：包名

productId：商品id

purchaseToken：支付凭证

运行结果：

![4f48f0f5a6844fa99721cab2b320c5d8.png][]

**验证方式 二 ： 使用API接口直接验证****，developer文档地址：**[https://developers.google.com/android-publisher/authorization?hl=zh-cn][https_developers.google.com_android-publisher_authorization_hl_zh-cn]

整体步骤：

1.  创建api项目这个和登录用的项目不是同一个
2.  开启Google Play Android Developer API
3.  设置oauth同意屏幕（就是拉起开发者授权账号登录时的登录页面）
4.  创建web应用的oauth客户端ID
5.  google play开发者后台，API权限菜单中关联刚刚创建的项目，一个google play账号只需要也只能关联一个api项目就行了，这个项目可以查询关联账号中的所有应用的订单
6.  拉起授权页面，使用google开发者账号给项目授权，得到code
7.  通过code，拿到refreshToken，这个token只有第一次才会返回需要永久储存（这个refreshtoken很重要，需要保存下来），如果弄丢，只有重新创建一个[oauth][]客户端ID，然后重复步骤6，7，拿到新的refreshtoken
8.  刷新refreshToken， 得到accessToken，通过accesstoken就可以去查询订单状态了，这里的accessToken一般只有5分钟左右，5分钟后需要重新用refreshToken换取新的accessToken

详细步骤：setp1：

创建[api][]项目[google api console][]

![51fe34b517f745a38aa55d177cd487a2.png][]

setp2：开启Google Play Android Developer API

![555cfd7dab4b4e4ebf22522ea6f21db7.jpeg][]

![bc209bcefb56434b93dbf1a17339fd3c.jpeg][]

搜索“Google Play Android Developer API”，并开启

![45a976a7266545d38e24f2c4e4f8a69a.jpeg][]

setp3:开启OAuth同意屏幕

![7b8ac8a0739e407c8122d596a8570b70.jpeg][]

setp4 ： 创建OAuth 客户端ID:

![acc587bf581b45daaf63c689981d0c8a.png][]

创建页面和创建成功后的修改页面可以获取到clientId和clientSecret:

![e520c37ae9ef45548c3615384ff10d38.png][]

到这里api项目就已经创建好了

setp5: Google Play 后台关联API项目：

![69c44cbd95c9477fb6bcfcf535b781ba.png][]

setp6：获取code

地址：[https://accounts.google.com/o/oauth2/auth?scope=https://www.googleapis.com/auth/androidpublisher&response\_type=code&access\_type=offline&redirect\_uri=][https_accounts.google.com_o_oauth2_auth_scope_https_www.googleapis.com_auth_androidpublisher_response_type_code_access_type_offline_redirect_uri]\{填写的重定向地址\}&client\_id=\{创建的clientId\}

将上面的\{XX\}替换成创建api项目时填写的重定向地址，和clientId，然后将连接放到浏览器中打开，就会吊起授权界面，使用你的开发者账号授权登录

请求方式：浏览器中打开 授权，URL会重定向，这个时候可以拿到code:

这里可以看到，重定向地址上有两个参数code和scope，我们只需要code就行了，这里的code是[urlencode][]后的，使用时需要decode

![dc17e3f1813b4edfb24d3f3db31abe8d.png][]

setp7:使用code获取refreshToken 这一步可以用Postman发起一个post请求：

url：[https://accounts.google.com/o/oauth2/token][https_accounts.google.com_o_oauth2_token]

请求方式：post

参数：grant\_type=authorization\_code

code=获取到的code（需要看看code中是否有%号，如果有需要urldecode）

client\_id=创建api项目是的clientId（客户端ID）

client\_secret=创建api项目时的clientSecret（客户端密钥）

redirect\_uri=创建api项目时的重定向地址

![bd5770c45e7e4ef0aa194c7f5a3a8fd1.png][]

这里就获取到refreshToken了，重点重点重点，refreshToken保存下来，它只会在第一次请求中返回，后续用在发一样的请求不会返回refreshtoken，如果不慎弄丢了，需要去重新创建一个WebClientId ，这里切记哈

如果后续再次调用这个接口结果为：

![664634cba971419299ff6614445dee54.png][]

Step 8:使用refreshToken获取accessToken

地址：[https://accounts.google.com/o/oauth2/token][https_accounts.google.com_o_oauth2_token]

请求方式：post

参数：grant\_type=refresh\_token

refresh\_token=刚刚获取到的refreshToken

client\_id=创建api项目是的clientId（客户端ID）

client\_secret=创建api项目时的clientSecret（客户端密钥）

![d9345908ee724e18ba6c2c64993231a2.png][]

setp9:这一步也是最后一步了 就是查询订单状态：

查询订单状态

[https://androidpublisher.googleapis.com/androidpublisher/v3/applications/][https_androidpublisher.googleapis.com_androidpublisher_v3_applications]\{packageName\}/purchases/products/\{productId\}/tokens/\{token\}?access\_token=\{access\_token\}

packageName：app包名，必须是创建登录api项目时，创建android客户端Id使用包名

productId：对应购买商品的商品ID

token：购买成功后Purchase对象的getPurchaseToken()

access\_token:上面咋们获取到的accessToken

请求方式：get

![f4f3df261ee749f8a6ed7a2bf1c325e7.png][]

返回值解释：

> \{
> 
> "purchaseTimeMillis": "16239806",//购买产品的时间，自纪元（1970 年 1 月 1 日）以来的毫秒数。
> 
> "purchaseState": 0,//订单的购买状态。可能的值为：0. 已购买 1. 已取消 2. 待定
> 
> "consumptionState": 0,//产品的消费状态。可能的值为： 0. 尚未消耗 1. 已消耗
> 
> "developerPayload": "",
> 
> "orderId": "GPA.XXXXXXX8",//google订单号 "purchaseType": 0,
> 
> "acknowledgementState": 0,
> 
> "kind": "androidpublisher\#productPurchase",
> 
> "obfuscatedExternalAccountId": "SDK2106180944530041",//上面客户支付时的透传字段，google指导是用来存放用户信息的，不能过长，否则客户端不能支付
> 
> "obfuscatedExternalProfileId": "",
> 
> "regionCode": "HK"
> 
> \}

其实服务端判断consumptionState就够了，如果是1 已经消费就可以实现后续逻辑了，比如发放金币，开启VIP等。

[https_developers.google.com_identity_protocols_oauth2_service-account_hl_zh-cn_delegatingauthority]: https://developers.google.com/identity/protocols/oauth2/service-account?hl=zh-cn#delegatingauthority
[https_play.google.com_console_u_0_developers_6365974680746954105_api-access]: https://play.google.com/console/u/0/developers/6365974680746954105/api-access
[887bc8fd06e84021bde83000e09c866d.jpeg]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/23/93d4d3754d3147b8ad6e1e205854ad34.png
[1b623d20da2f4219aac4cc43c9295435.jpeg]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/23/f95fdee8b7bd42ec816ea8bb4fa78e32.png
[https_console.cloud.google.com]: https://console.cloud.google.com/
[6bcbe84e92594abf8d143a18a818546d.jpeg]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/23/ca5049440178487186f98fdea1c6f184.png
[78cff42820224f6caa4bb0a92c0eee43.jpeg]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/23/faca1a7e96864868af81184fd1e8d341.png
[ce13b78bfe4f4fb5a6a09ef3322df38e.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/23/311d27ca293a441fa6085e5604e1bb7e.png
[2b25cd72f0c949b3b19ce73a5a69bbef.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/23/33b7f15611354e7fa2fe7f9ce74250cb.png
[5762050713fc4c3aaecf2f4efe21c9af.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/23/3a820da44a7d41b88ec7c118d4478f6f.png
[b7802ae234df450ea49926471652b76f.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/23/906c0c0bf026468ab0ecd0a295a6f404.png
[28963397f3464ee0885a80ea1ad7b740.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/23/f76128abf7f3451a85d71444a870ef81.png
[181d4b82c5784ddf973a8bce18af048d.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/23/7764e214e32147d7857087d1afdebe04.png
[4f48f0f5a6844fa99721cab2b320c5d8.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/23/60f56a7e2f584d9a9e9e0bb432ce5c43.png
[https_developers.google.com_android-publisher_authorization_hl_zh-cn]: https://developers.google.com/android-publisher/authorization?hl=zh-cn
[oauth]: https://so.csdn.net/so/search?q=oauth&spm=1001.2101.3001.7020
[api]: https://so.csdn.net/so/search?q=api&spm=1001.2101.3001.7020
[google api console]: https://links.jianshu.com/go?to=https%3A%2F%2Fconsole.cloud.google.com%2Fapis
[51fe34b517f745a38aa55d177cd487a2.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/23/84f3b915913648e891fdb555bd8abbff.png
[555cfd7dab4b4e4ebf22522ea6f21db7.jpeg]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/23/8a17c6371c684e8fa9bdbc2834ac5188.png
[bc209bcefb56434b93dbf1a17339fd3c.jpeg]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/23/07fc1f64c235402f8040e4efbdc95b08.png
[45a976a7266545d38e24f2c4e4f8a69a.jpeg]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/23/02e01cdf556b42e49a404566a93e0411.png
[7b8ac8a0739e407c8122d596a8570b70.jpeg]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/23/526e6e726d5e4c11917eec9321dc8d06.png
[acc587bf581b45daaf63c689981d0c8a.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/23/40e01c5db2cf4da0aa3ccf802c597e63.png
[e520c37ae9ef45548c3615384ff10d38.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/23/378c1d4a18db4cfc90ca218016f2eefa.png
[69c44cbd95c9477fb6bcfcf535b781ba.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/23/1f5c033625574b02975c32dd9a46fe8a.png
[https_accounts.google.com_o_oauth2_auth_scope_https_www.googleapis.com_auth_androidpublisher_response_type_code_access_type_offline_redirect_uri]: https://links.jianshu.com/go?to=https%3A%2F%2Faccounts.google.com%2Fo%2Foauth2%2Fauth%3Fscope%3Dhttps%3A%2F%2Fwww.googleapis.com%2Fauth%2Fandroidpublisher%26response_type%3Dcode%26access_type%3Doffline%26redirect_uri%3D
[urlencode]: https://so.csdn.net/so/search?q=urlencode&spm=1001.2101.3001.7020
[dc17e3f1813b4edfb24d3f3db31abe8d.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/23/d6cd4864b5604720af3e6a7feb701a67.png
[https_accounts.google.com_o_oauth2_token]: https://links.jianshu.com/go?to=https%3A%2F%2Faccounts.google.com%2Fo%2Foauth2%2Ftoken
[bd5770c45e7e4ef0aa194c7f5a3a8fd1.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/23/7915335d81b3401eb42ce94d31fb34f5.png
[664634cba971419299ff6614445dee54.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/23/9dc4529fec6d4e278dce9d99299d423a.png
[d9345908ee724e18ba6c2c64993231a2.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/23/6ad9e051f0894b04a7b8498c2fff90b5.png
[https_androidpublisher.googleapis.com_androidpublisher_v3_applications]: https://links.jianshu.com/go?to=https%3A%2F%2Fandroidpublisher.googleapis.com%2Fandroidpublisher%2Fv3%2Fapplications%2F
[f4f3df261ee749f8a6ed7a2bf1c325e7.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/23/8aed4d9272c9445c89d5e6e60aad00d4.png