Web应用程序中的许可证密钥解决方案，最佳方法是什么？

我不满意经理的要求。我为一家小型初创公司工作，我们为一家规模较大的公司开发了具有固定价格和维护协议的Web应用程序。得知大型公司将如何支付账单的最后一刻的恐怖故事，我们决定，我们希望能够通过许可该Web应用程序来保护自己，这种方式如果我们无法获得付款，则该软件将不再起作用。

我之前已经看到桌面应用程序可以做到这一点，但是这将是一个Web应用程序，它们将在内部托管，并且不能从Internet访问。

这样做的最佳方法是什么，我们希望它的占用空间小，并希望能够续订他们已分发的许可证密钥。

有人做过类似的事情吗？我们会完全失去理智吗？有人有更好的建议吗？

有很多方法可以实现这样的事情，但是这不应该太难做：

您需要在某个公共站点上托管一个网站，该网站托管一个文件，该文件包含已列入黑名单的许可证密钥的哈希值。您如何管理此文件取决于您，但是文件本身仅需要每行有一个哈希即可。

然后，您的软件会定期重复下载此文件（大多数服务器端语言都提供了此文件），然后在其中搜索已安装许可证密钥的哈希值。如果找到了，则应用程序知道它应该死，直到删除黑名单。

MD5或类似的东西加上一个秘密就足够了。您可能会觉得更怪异，并希望应用程序将请求发送到您的站点，然后您可以在数据库中即时查找请求，但是文件（对于我来说，我希望它可能是一个简短的列表）可能希望很小，并且可能会最简单的方法。

最困难的部分将是使应用程序停止运行。毕竟，您必须将其存储在内部某个地方，这意味着，如果它太明显了，则可以轻松地对其进行颠覆；即使它不是太明显，也可以通过还原适当的表/来轻松地对其进行还原。文件。因此，我也建议采用第二种保护方法。

该方法将“ LIVE”或“ DEAD”（或足够类似的东西）存储在表或文件中，但又被哈希化。这需要与您的盐和时间戳进行哈希运算。每次运行应用程序上的页面时，请使用“ LIVE” + salt + timestamp的哈希版本检查此值，然后允许有效的时间戳范围（例如，一天，两天，一周，一个月等）。请记住，范围越大，性能越差。）只要事物匹配（或找到匹配），该应用程序就处于活动状态；否则，即使特殊文件或表中的值为“ LIVE”，如果尝试从备份还原，则该时间戳仍将失效，因为时间戳将超出阈值。

总而言之（这确实假定您具有某种检查许可证密钥有效性的程序化方法，例如某种校验和或其他方法）：

• 黑名单
  • 将许可证密钥转换为带有盐的哈希
  • 从服务器请求黑名单文件
  • 我的哈希在文件中吗？
  • 如果是，则存储“ DEAD” +盐+时间戳的哈希（截断为天；无需存储小时+天+分钟）
  • 如果为“否”，则存储“ LIVE” +盐+时间戳的哈希（被截断）
• IsKeyAlive
  • 从“实时” +盐+截断的时间戳创建哈希
  • 加载DeadAlive哈希
  • 他们同意吗？
  • 如果是，那么我们还活着；返回TRUE。
  • 如果为“否”，那么我们可能已经死了，但仍可能在时间戳窗口内：
    • 从时间戳中减去一天并重复哈希。
    • 我们现在同意吗？
    • 是？返回TRUE
    • 向时间戳记添加一天并重复哈希
    • 我们现在同意吗？
    • 是？返回TRUE
  • 此时，我们超出了时间戳范围，没有匹配项。返回FALSE。（杀死应用）

现在，天哪知道可能有一百万个失败的方法。考虑所有可能的方法并构建一个可靠的系统（包括一个如果无法下载黑名单文件则假定客户端正确的系统）。在部署之前进行测试，测试，测试，然后再进行其他测试，因为如果出现问题，您将失去客户的信任。

其他答案已经很好地涵盖了技术方面。但也请考虑法律方面。

如果他们不付款，您甚至有权阻止他们的应用程序？如果您未在合同中提前提及此内容，即使付款失败（例如您不一定有权收回所售商品），您也可能无权这样做。同样，许多国家/地区都有禁止“操纵计算机程序”的特殊法律-您所做的事情可能被视为是这样，甚至可能使您承担刑事责任。

因此，我建议您首先与律师进行讨论，以免陷入困境。

最后，仅依靠法律制度可能会更好。如果他们不付款，请进行谈判，如果这样做没有帮助，请提起诉讼。在许多国家/地区，如果合同情况明确，起诉相对容易且成本低廉（例如，在德国，您可以以不到20欧元的价格获得Mahnbescheid）。

如果他们在内部托管，这与您可能会附带的其他软件有何不同？弄清楚如果要运送桌面清单显示应用程序该怎么办，然后执行此操作。

这取决于系统。您是否扩展了像Magneto这样的现有框架，还是从头开始编写了整个应用程序？如果是较晚的版本，那么建立许可要求就不会太困难。您只需提供带有短期许可证的应用程序，该许可证在您开具账单后的45天后过期，然后在以后提供永久许可证。

这假定您也没有移交源。:)

由于系统是内部托管的，因此上述涉及与远程服务器通信的许多解决方案可能无法正常工作。

为什么不改为在包含到期日期的项目中添加许可证文件。一旦系统时钟超过有效日期，系统就会停止运行。要保护文件，请加密内容以防止篡改。当用户确实付款或续订一年时，您可以向他们发送新的许可证文件。

请注意，如果您使用的是PHP，则用户可以随时使用该代码进行编辑，因此，无论您采用哪种安全性，用户都可以轻松地将其删除。如果您使用的是ASP.NET或其他某种编译语言，则不必担心，因为无法修改代码。

（公开-我为许可证管理器系统提供商Agilis Software工作）。

最有效的解决方案是将自动产品激活与许可证租赁一起使用。开箱即用，您可以：

• 自动激活客户的许可证。在激活时，每个实例都会自动锁定到您选择的目标系统参数，并且您为它们设置的许可证限制将在您的应用程序上强制执行（例如，配置功能，设置总体试用或订阅时间限制）。
• 设置一个“租赁间隔”，这是任何一个激活事件的最大有效期。对于拥有可疑信用的客户，您可以将其设置为两周，这意味着您的应用每两周会在后台自动“回电”以重新许可。如果他们逾期未付款，则可以在托管服务器中禁用其许可证，它将在下一个电话回家中停止运行。
• 如果没有来自目标系统的网络连接，则可以通过在任何Web终端上交换加密文件来进行用户自助服务激活过程。如果您的用户处于此位置，则您可能希望延长租用间隔，以在给用户带来不便与您需要付款之间取得平衡。一旦他们付款，您就可以根据需要设置租期，直到永久。