Реалізація генерації та валідації ліцензійних ключів на сайті

Реалізація генерації та валідації лицензійних ключів на сайте

Лицензійний ключ — це рядок, який кодує права: який продукт, який план, дата істечення. Валідація повинна працювати як онлайн (API), так і офлайн (криптографічна перевірка підписи).

Формати ключів

Простий випадковий ключ: A3K7M-XQ2WP-N8VLR-5HZTB-J4YCS

Зберігає тільки унікальність. Усі дані про ліцензію — на сервері. Онлайн-валідація обов'язкова.

Ключ з даними (Partial Key Verification): Частина ключа кодує атрибути ліцензії. Дозволяє часткову офлайн-валідацію.

JWT-токен: eyJhbGciOiJSUzI1NiJ9... — повноцінний токен з корисною нагрузкою та RSA-підписом.

Генерація JWT-ліцензій

Асиметрична RSA-підпис дозволяє клієнтському приложенню перевірити ліцензію без звернення до сервера, використовуючи лише публічний ключ:

use Firebase\JWT\JWT;

class LicenseTokenService
{
    public function issue(License $license): string
    {
        $privateKey = file_get_contents(storage_path('keys/license_private.pem'));

        return JWT::encode([
            'iss'        => 'example.com',
            'iat'        => now()->timestamp,
            'exp'        => $license->expires_at?->timestamp ?? 9999999999,
            'license_id' => $license->id,
            'product'    => $license->product_code,
            'plan'       => $license->plan,
            'seats'      => $license->max_seats,
            'features'   => $license->features,
        ], $privateKey, 'RS256');
    }

    public function verify(string $token): array
    {
        $publicKey = file_get_contents(storage_path('keys/license_public.pem'));
        $payload   = JWT::decode($token, new Key($publicKey, 'RS256'));
        return (array) $payload;
    }
}

Валідація в приложенні (офлайн)

// C# приклад для desktop-приложення
public class LicenseChecker
{
    private readonly string publicKey = @"-----BEGIN PUBLIC KEY-----
MIIBIjANBgkqhkiG9w0BAQEFAAOCAQEAr...
-----END PUBLIC KEY-----";

    public LicenseResult Validate(string token)
    {
        var handler   = new JwtSecurityTokenHandler();
        var validation = new TokenValidationParameters
        {
            ValidateIssuer           = true,
            ValidIssuer              = "example.com",
            ValidateIssuerSigningKey = true,
            IssuerSigningKey         = GetPublicKey(),
            ValidateLifetime         = true,
        };

        try
        {
            var principal = handler.ValidateToken(token, validation, out _);
            return new LicenseResult { IsValid = true, Plan = GetClaim(principal, "plan") };
        }
        catch (SecurityTokenExpiredException)
        {
            return new LicenseResult { IsValid = false, Error = "License expired" };
        }
    }
}

API для валідації

Route::post('/api/v1/licenses/validate', function (Request $request) {
    $key = $request->input('key');

    $license = License::where('key', $key)->first();

    if (!$license) {
        return response()->json(['valid' => false, 'error' => 'Invalid key'], 404);
    }

    $checks = [
        'active'     => $license->status === 'active',
        'not_expired'=> !$license->expires_at || now()->isBefore($license->expires_at),
        'seats_ok'   => $license->activations()->where('revoked', false)->count() < $license->max_activations,
    ];

    $valid = !in_array(false, $checks);

    return response()->json([
        'valid'      => $valid,
        'product'    => $license->product_code,
        'plan'       => $license->plan,
        'expires_at' => $license->expires_at,
        'errors'     => array_keys(array_filter($checks, fn($v) => !$v)),
    ]);
});

Сроки

Генерація та валідація лицензійних ключів з JWT та API: 4–6 робочих днів.