绑定设备ID，实现APK专属手机运行

本文介绍如何利用 Android 设备的唯一标识（如序列号、Android ID 或 IMEI）在应用启动时校验设备合法性，从而实现 APK 仅在授权设备（如你的手机）上正常运行，其他设备安装后将无法使用。

在实际开发中，若需将 Android 应用（APK）绑定至特定物理设备（例如仅限你自己的手机），核心思路是在应用启动阶段获取设备的唯一硬件或系统标识，并与预设的白名单进行比对；校验失败则强制退出或提示“未授权设备”。虽然 Android 官方不鼓励强设备绑定（因涉及隐私与兼容性），但在测试、内部工具或定制化场景下，该方案仍具实用性。

✅ 推荐方案：使用 Build.getSerial()（需注意权限与兼容性）

自 Android 9（API 28）起，Build.SERIAL 被弃用，推荐使用 Build.getSerial()，但需声明 READ_PHONE_STATE 权限（Android 10+ 还需 READ_PRIVILEGED_PHONE_STATE 系统权限，普通应用不可用）。因此更稳妥的选择是组合多个标识并降级处理：

// Kotlin 示例：获取设备唯一标识（兼容性处理）
fun getDeviceId(context: Context): String {
    return when {
        Build.VERSION.SDK_INT >= Build.VERSION_CODES.O -> {
            // Android 8.0+ 推荐：使用 Android ID（同一应用、同一用户、同一设备稳定）
            Settings.Secure.getString(context.contentResolver, Settings.Secure.ANDROID_ID)
                ?: "unknown_android_id"
        }
        else -> {
            // 低版本 fallback：尝试 Build.SERIAL（需 READ_PHONE_STATE）
            try {
                if (ActivityCompat.checkSelfPermission(context, Manifest.permission.READ_PHONE_STATE) == PackageManager.PERMISSION_GRANTED) {
                    Build.SERIAL.ifEmpty { "unknown_serial" }
                } else "permission_denied"
            } catch (e: Exception) {
                "build_serial_error"
            }
        }
    }.also { Log.d("DeviceID", "Resolved ID: $it") }
}

? 启动校验逻辑（主 Activity 中）

class MainActivity : AppCompatActivity() {
    private val AUTHORIZED_DEVICE_ID = "YOUR_TARGET_DEVICE_ANDROID_ID" // 替换为你手机的实际 Android ID

    override fun onCreate(savedInstanceState: Bundle?) {
        super.onCreate(savedInstanceState)

        val deviceId = getDeviceId(this)
        if (deviceId != AUTHORIZED_DEVICE_ID) {
            Toast.makeText(this, "❌ 此应用仅授权在指定设备运行", Toast.LENGTH_LONG).show()
            finishAffinity() // 彻底退出应用
            return
        }

        setContentView(R.layout.activity_main)
        // 继续正常初始化...
    }
}

⚠️ 重要注意事项：

• Android ID 并非绝对唯一：它在恢复出厂设置或同一应用被不同用户安装时会重置；且部分厂商定制 ROM 可能返回固定值（如 9774d56d682e549c）。
• 避免使用 IMEI/MEID：自 Android 10 起，非系统应用无法访问 TelephonyManager.getImei()，且需敏感权限，审核易被拒。
• 签名加固建议：可将校验逻辑与 APK 签名指纹结合（PackageInfo.signingInfo.apkDigest），防止 APK 被篡改后绕过校验。
• 调试提示：首次运行前，请在目标设备上打印 getDeviceId(this) 的实际值并记录，再填入 AUTHORIZED_DEVICE_ID。

✅ 替代增强策略（进阶）

• 服务器端绑定：启动时向自有服务发送设备指纹（加密后的 Android ID + 包名 + 签名哈希），服务返回是否允许运行。可动态管理授权设备，且规避本地硬编码风险。
• SafetyNet Attestation（已弃用）→ Play Integrity API：适用于发布到 Google Play 的应用，验证设备完整性与应用真实性，但无法精确到单台设备。

总之，纯客户端设备锁定本质是“尽力而为”的软限制，无法完全防破解，但足以满足内部工具、演示版或临时授权等轻量场景。关键在于选择稳定、可获取、合规的标识源，并做好兼容性兜底。