наименее инвазивным способом, чтобы однозначно идентифицировать Android пользователя

Question

Как можно однозначно идентифицировать пользователя, который установлен приложение таким образом, чтобы:

1. Вы будете знать, что это их, если они удалить и переустановить приложение;
2. Вы узнаете, что это они, если они устанавливают ваше приложение на втором устройстве, которое они намерены использовать одновременно?

Как пример, я вижу, что приложение Netflix будет автоматически ссылаться на вашу учетную запись на рабочем столе без какого-либо взаимодействия с пользователем. Я предполагаю, что они используют accountManager.getAccounts() или аналогичный метод, потому что они также требуют разрешения GET_ACCOUNTS. Но, конечно, это разрешение помечено как Protection level: dangerous. Есть ли какая-либо техника для этого, которая менее инвазивна или потенциально опасна?

---

Ключ к ответу на это должен быть как простым (для пользователя), так и минимально инвазивным. Android предоставляет множество способов идентифицировать пользователей, и многие из этих способов включают проникновение конфиденциальности пользователя, и если это единственный способ, я буду делать то, что я делаю сейчас (дополнительная регистрация по электронной почте). Я просто хочу, чтобы мое приложение узнало, зарегистрирован ли пользователь в моей системе через установки без необходимости опроса пользователя (имя пользователя/пароль, адрес электронной почты, сторонний OAuth и т. Д.).

Мои основные причины:

1. Я не хочу запросы от пользователей, осиротевших их содержание после переустановки; и
2. Я не хочу размещать много потерянного контента.

Answer 1

Посмотрите на Firebase Authentication. Это довольно бесшовно и не требует больших усилий для включения. Также он не чувствует себя навязчивым или громоздким для конечного пользователя.

Адрес: video tutorial.

EDIT: В случае, если ваши пользователи уверены, что имеют сотовое устройство с номером телефона, вы можете использовать AccountKit. Это также то, что они называют OTA (одноразовая аутентификация). AccountKit использует только номер телефона пользователя для проверки и проверки пользователей.

EDIT: Firebase Authentication теперь имеет функцию «Проверка телефона», которая аналогична AccountKit, упомянутой выше. Оба являются хорошими услугами. Тем не менее, проверка телефона Firebase позволяет создавать собственный пользовательский интерфейс с нуля (что означает намного лучший контроль, чем AccountKit). Кроме того, если вы не хотите создавать свой пользовательский интерфейс, вы всегда можете использовать FirebaseUI

Answer 2

Я думаю, что лучшим способом будет внедрение логина с Google или Facebook. Это совершенно безопасно для пользователей, достаточно безопасных (поскольку Google и Facebook считаются доверенными), вам не нужно внедрять вашу регистрацию по электронной почте, и у вас будет идентификация между устройствами.

Answer 3

Если ваше приложение является Android, и вы хотите предоставить личность без создания учетной записи для пользователя, я считаю, что использовать имя учетной записи Google/id - лучший выбор (Accessing Google Account Id /username via Android), так как вы должны использовать учетную запись Google на телефоне Android (если вы не установили ее, не удалите сервисы Google Play и т. д.).

Если вы хотите только решить первую точку вашего вопроса (определить после переустановки) есть Идентификатор устройства - Secure.getString(getContext().getContentResolver(), Secure.ANDROID_ID); , хотя это не 100% надежные (к Factory Reset сбрасывает это значение)

Answer 4

стандарта для достижение такого рода функциональности осуществляется за счет использования JSON web tokens (JWT) в сочетании со стандартным аварийным трафиком api.

Предполагая, что ваше приложение android взаимодействует с RESTful api для всех кропотливых операций и бизнес-логики, использование JWT в качестве идентификатора аутентификации для вашего api может работать очень хорошо. Вы можете вставлять информацию в каждый JWT, чтобы вы могли идентифицировать все, что вам нравится (идентификатор пользователя в базе данных, идентификатор устройства, в котором зарегистрирован пользователь и т. Д.). JWT - это, по существу, структура данных, позволяющая хранить информацию, которая будет использоваться API.

Некоторые основы для того, как это работает:

1. Получение JWT в приложение: А пользователь регистрируется в приложении, используя свой логин/пароль. Затем api возвращает зашифрованный JWT, который будет использоваться клиентом для всех будущих запросов. Не пытайтесь делать шифрование самостоятельно. Любой язык, который может обрабатывать обслуживание api , будет иметь библиотеки для этого.

2. Использование информации в JWT: JWT сам по себе является структурой данных. Например, это может выглядеть следующим образом:

   { user_id: 1, device_id: 44215, device_os: android, }

   Ваш апи будет расшифровывать JWT, когда он поставляется для аутентификации через заголовок запроса, а затем эту информацию, доступную в контексте сессии.

Если вы предоставляете язык, используемый вашим api, то я могу рекомендовать библиотеку.

В заключение я обращусь к окончательному требованию, которое вы представили, в котором говорится, что вы не хотите, чтобы он брал интервью у пользователей через установки. Если я понимаю ваш смысл, вы хотите, чтобы пользователь мог просто установить приложение и начать использовать его без предоставления учетных данных для проверки подлинности, тогда нет надежного безопасного решения. Возможно, вы сможете придумать хакерский способ заставить его работать, но это будет фундаментально неуверенно.

Answer 5

Я внедрил что-то похожее на вашу вещь с помощью push-уведомления, я могу получить сообщение об ошибке, если пользователь удалил мое приложение (и из регистрационного идентификатора я получил пользователя), и если он будет установлен, он получит новую регистрацию id и попытаться получить UUID пользователя для разных устройств.

Answer 6

Я думаю, что самый простой способ - использовать UUID и хранить хэш на sharedPreferences. Вы должны сгенерировать UUID как можно раньше в своем приложении.

sharedPrefs = context.getSharedPreferences(APP_SHARED_PREFS,Activity.MODE_PRIVATE); 
if (sharedPrefs.getString("YOUR-KEY-TO-THE-UUID") == null || "".equals(sharedPrefs.getString("YOUR-KEY-TO-THE-UUID"))){ 
    prefsEditor = sharedPrefs.edit(); 
    prefsEditor.putString("YOUR-KEY-TO-THE-UUID", UUID.randomUUID().toString()); 
    prefsEditor.commit(); 
}