Google Play サブスクリプション

#始める前に

• ユーザーを招待できる、アカウント所有者または管理者の Play Console ログイン。
• Google Cloud コンソールでプロジェクトを作成できる Google アカウント（どの Google アカウントでも可）。
• アプリのパッケージ名（applicationId、例：com.example.app）と、Play Console で作成済みのサブスクリプション商品 1 つ以上。
• 操作は約 15 分。その後、Google が権限を有効にするまで最大 1 日かかります。

#1. サービスアカウントの JSON を取得する

この JSON ファイルはサービスアカウントのキーです。ゲートウェイはこれを使ってアプリの購入について Google に問い合わせるだけで、それ以外には使いません。Google ではサービスアカウントキーと呼ばれ、OAuth クライアントのファイル（client_secret_….json）とは別物です。

1. 1

   Google Cloud コンソールを開いてプロジェクトを選ぶ

   console.cloud.google.com

   上部のプロジェクト選択ツールを使います。どのプロジェクトでも構いませんが、Play のチェック専用に新しく作成すると管理しやすくなります。

2. 2

   Play API を有効にする

   API とサービス（APIs & Services）→ ライブラリ（Library）→ Google Play Android Developer API → 有効にする（Enable）

   名前を正確に入力して検索してください。ボタンが「管理（Manage）」になっていれば、すでに有効です。

3. 3

   サービスアカウントを作成する

   IAM と管理（IAM & Admin）→ サービス アカウント（Service accounts）→ サービス アカウントを作成（Create service account）

   名前は play-verify など自由に付けて構いません。プロジェクトのロールやユーザーアクセスを付与する任意の手順はスキップしてください：Cloud のロールは不要です。「完了（Done）」をクリックします。

4. 4

   JSON キーをダウンロードする

   サービスアカウントを開く → キー（Keys）→ 鍵を追加（Add key）→ 新しい鍵を作成（Create new key）→ JSON → 作成（Create）

   ブラウザに .json ファイルがダウンロードされます。大切に保管してください：Google は二度と表示せず、このファイルを持つ人は誰でもアプリの購入情報を読み取れます。

5. 5

   サービスアカウントのメールアドレスをコピーする

   play-verify@your-project.iam.gserviceaccount.com のような形式で、サービスアカウントのページと、ファイル内の client_email に表示されています。次の手順で使います。

#2. Play Console でアクセス権を付与する

1. 1

   サービスアカウントを招待する

   play.google.com/console → ユーザーと権限（Users and permissions）→ 新しいユーザーを招待（Invite new users）

   メールアドレス欄にサービスアカウントのメールアドレスを貼り付けます。サービスアカウントは招待を承諾する必要はありません。

2. 2

   次の 2 つの権限を付与する

   アプリの権限（App permissions）→ アプリを追加（Add app）→ 自分のアプリを選択

   「財務データ、注文、解約理由アンケートへの回答の表示（View financial data, orders, and cancellation survey responses）」と「注文と定期購入の管理（Manage orders and subscriptions）」にチェックを入れます。それ以外はオフのままにします。代わりに「アカウントの権限（Account permissions）」で同じ 2 つにチェックを入れると、すべてのアプリが対象になります。

3. 3

   招待を送信する

   適用（Apply）→ ユーザーを招待（Invite user）

   サービスアカウントが「ユーザーと権限」に「有効（Active）」として表示されます。

#3. API キーに設定する

1. 1

   アプリで使うキーを開く

   コンソール → API キー → 編集

   アプリ専用のキーを使ってください（下記参照）。

2. 2

   「Google Play サブスクリプションの確認」を入力する

   Google Play チェックを設定

   パッケージ名をアプリの build.gradle（applicationId）と完全に同じに入力し、手順 1 の JSON ファイルを選んで保存します。

3. 3

   保存時のメッセージを確認する

   ゲートウェイは保存する前に、そのファイルで Google への問い合わせを試します。それでも Google が拒否する場合は、何が足りないかがダイアログに表示されます。多くは手順 1 の API か手順 2 の権限です。ファイルは暗号化して保存され、再表示されることはありません。置き換えるには再度アップロードしてください。

#4. アプリからチェックする

購入直後にチェックし、アプリを開いたときにも保存したトークンで再度チェックしてください。アプリの起動を結果待ちでブロックしないでください：前回保存した結果を表示し、チェックが返ってきたら更新します。同じトークンには 1 分間のキャッシュから応答します。各キーはデフォルトで 1 分あたり 120 回までチェックでき、現在の上限はキーの Google Play 設定に表示されます。サポートがキーごとに引き上げることもできます。上限を超えた呼び出しは 429 を返し、ログに記録されないため、前回保存した結果を使い続けてください。

import 'dart:convert';
import 'package:http/http.dart' as http;
import 'package:in_app_purchase/in_app_purchase.dart';

const apiKey = 'sk-YOUR_KEY';

Future<Map<String, dynamic>?> checkSubscription(String purchaseToken) async {
  final res = await http.post(
    Uri.parse('https://www.aisplice.store/v1/google-play/verify'),
    headers: {
      'Authorization': 'Bearer $apiKey',
      'Content-Type': 'application/json',
      // Request signing on for this key? Then this call must be signed too:
      // ...signedHeaders('POST', '/v1/google-play/verify'),
    },
    body: jsonEncode({'purchase_token': purchaseToken}),
  );
  if (res.statusCode != 200) return null; // keep the last saved answer
  return jsonDecode(res.body) as Map<String, dynamic>;
}

// In your purchaseStream listener:
Future<void> onPurchase(PurchaseDetails purchase) async {
  if (purchase.status != PurchaseStatus.purchased &&
      purchase.status != PurchaseStatus.restored) return;
  final token = purchase.verificationData.serverVerificationData;
  final status = await checkSubscription(token);
  if (status != null && status['active'] == true) {
    await saveEntitlement(token, status); // your local storage
    unlockPaidFeatures();
  }
  if (purchase.pendingCompletePurchase) {
    await InAppPurchase.instance.completePurchase(purchase); // acknowledges on Android
  }
}

#5. 解放する内容を決める

結果と一緒に expiry_time を保存してください。チェックとチェックの間はその時刻までサブスクリプションを利用可能として扱えば、オフラインの端末でも動作し続けます。

#6. すべての購入を確認する

#7. アプリ内のキーを保護する

アプリ内のキーは、キャプチャした通信から読み取られる可能性があります。そのキーでリクエスト署名を有効にしてコピーされたキー単体では使えないようにし、ビルドを難読化し、キーに利用枠の上限を設定してください。

アプリ向けのリクエスト署名 →

#8. 結果を確認する

キャッシュ済みの応答や失敗も含め、すべてのチェックはコンソール → リクエストログ に、そのキーの無料の「Google Play チェック」として表示されます。購入トークン全体、末尾の数文字、またはユーザーが Google の領収書メールから送ってきた注文 ID（GPA.…）で検索できます。

• google_play_api_disabled：JSON ファイルが属するプロジェクトで、手順 1 の Play API が有効になっていません。
• google_play_permission_denied：手順 2 の招待がない、2 つの権限が付与されていない、別のアプリに対する招待である、またはまだ有効になっていません。
• google_play_credentials_invalid：JSON キーが Google Cloud で削除または無効化されています。新しいキーを作成し、API キーにアップロードしてください。
• 保存時にサービスアカウントキーではないと表示される場合：OAuth クライアントのファイルを選んでいます。代わりにサービスアカウントの「キー」タブからキーをダウンロードしてください。
• すべてのチェックで購入が見つからないと表示される場合：キーのパッケージ名がアプリの applicationId と異なるか、トークンが別のアプリのものです。
• ライセンステスターによるテスト購入では test_purchase: true が返ります。

すべてのフィールドとエラーコード →