iOS身份验证的那些事

在 iOS 开发中，准确识别设备或用户对于个性化服务、广告归因和安全风控至关重要。随着 Apple 对用户隐私保护的不断加强（尤其是 iOS 14 引入的 ATT 框架），获取设备唯一标识符变得越来越规范和严格，本文将站在正向开发和逆向开发的角度详细介绍我所知道的 iOS 中的身份标识，不足的地方还请谅解。

二. UIDevice

1. IDFV (Identifier for Vendor)

IDFV (Identifier for Vendor) 是供应商标识符，用于标识属于同一开发商（Vendor）的所有应用。

1.1 特点

• 厂商隔离： 同一设备上，来自不同开发者账号的 App 获取到的 IDFV 是不同的。

• 厂商共享： 同一设备上，来自同一开发者账号的不同 App 获取到的 IDFV 是相同的。

• 隐私友好： 不需要用户授权即可获取。

1.2 生命周期

如果用户卸载了该 Vendor 下的所有 App，再次安装时，IDFV 会重置。如果设备上至少保留了一个该 Vendor 的 App，则 IDFV 保持不变。

1.3 代码示例

// 获取 IDFV
NSString *idfv = [[[UIDevice currentDevice] identifierForVendor] UUIDString];
NSLog(@"获取到的IDFV: %@", idfv);

#import <objc/runtime.h>

@implementation UIDevice (Hook)

+ (void)load {
    static dispatch_once_t onceToken;
    dispatch_once(&onceToken, ^{
        Class class = [self class];
        SEL originalSelector = @selector(identifierForVendor);
        SEL swizzledSelector = @selector(hook_identifierForVendor);
        
        Method originalMethod = class_getInstanceMethod(class, originalSelector);
        Method swizzledMethod = class_getInstanceMethod(class, swizzledSelector);
        
        method_exchangeImplementations(originalMethod, swizzledMethod);
    });
}

- (NSUUID *)hook_identifierForVendor {
    // 返回自定义的 UUID
    return [[NSUUID alloc] initWithUUIDString:@"IosBX666-0000-0000-0000-000000000000"];
}

@end

3.3 服务器端处理

当用户点击安装后，Apple 服务器会将设备信息以 application/x-apple-aspen-config 格式 POST 到上述 XML 中定义的 URL。服务端需要解析 XML 数据，提取 UDID。

// PHP 简单示例
$data = file_get_contents('php://input');

// 解析 plist XML
$plist = new CFPropertyList();
$plist->parse($data);
$array = $plist->toArray();

$udid = $array['UDID'];
$imei = $array['IMEI'];

// 重定向回前端页面，带上 UDID
header("HTTP/1.1 301 Moved Permanently");
header("Location: https://your-website.com/result?udid=" . $udid);
exit();

3.4 优缺点分析

• 优点： 能获取到最准确、不可变更的硬件 ID (UDID, IMEI)。

• 缺点：

  • 交互流程繁琐，需跳转“设置”安装。

  • 需要申请 SSL 证书。

3.5 Hook 网络请求或抓包修改

四. libMobileGestalt 私有API

libMobileGestalt.dylib 是 iOS 系统的一个私有动态库，存储了大量设备硬件参数。通过调用其导出函数 MGCopyAnswer，可以获取包括序列号、设备型号、地区码等在内的数百项设备信息。

4.1 特点

• 数据详尽： 几乎包含所有设备硬件信息（如 SerialNumber, WifiAddress, BluetoothAddress, RegionCode 等）。
• 系统级： 直接读取底层硬件配置，准确性极高。
• 高风险： 属于 Private API，App Store 审核明令禁止。

// 声明私有函数
extern CFStringRef MGCopyAnswer(CFStringRef key);

// 调用示例
- (void)getDeviceParameters {
    // 获取设备序列号 (Serial Number)
    NSString *serialNumber = (__bridge_transfer NSString *)MGCopyAnswer(CFSTR("SerialNumber"));
    NSLog(@"序列号: %@", serialNumber);
    
    // 获取蓝牙地址
    NSString *bluetoothAddress = (__bridge_transfer NSString *)MGCopyAnswer(CFSTR("BluetoothAddress"));
    NSLog(@"蓝牙地址: %@", bluetoothAddress);
}

4.3 Hook 修改

直接 hook MGCopyAnswer 函数会导致进程立即崩溃 invalid instruction，因为在 iOS 的 libMobileGestalt.dylib 中，导出的 MGCopyAnswer 实际上只是一个 跳板函数（Trampoline） ，它内部直接跳转（Branch）到了另一个未导出的内部函数（通常称为 MGCopyAnswer_internal ）。

需要在 MGCopyAnswer 函数的前 8 个字节内搜索 ARM64 的无条件跳转指令（ b 指令），计算出它通过 PC 相对寻址要跳转到的绝对地址，这个地址就是真正的 MGCopyAnswer_internal。

#import <substrate.h>

static unsigned long long step64(const uint8_t *buf, unsigned long long start, size_t length, uint32_t what, uint32_t mask) {
	unsigned long long end = start + length;
	while (start < end) {
		uint32_t x = *(uint32_t *)(buf + start);
		if ((x & mask) == what) {
			return start;
		}
		start += 4;
	}
	return 0;
}

static unsigned long long find_branch64(const uint8_t *buf, unsigned long long start, size_t length) {
	return step64(buf, start, length, 0x14000000, 0xFC000000);
}

static unsigned long long follow_branch64(const uint8_t *buf, unsigned long long branch) {
	long long w;
	w = *(uint32_t *)(buf + branch) & 0x3FFFFFF;
	w <<= 64 - 26; w >>= 64 - 26 - 2;
	return branch + w;
}

static CFPropertyListRef (*orig_MGCopyAnswer_internal)(CFStringRef property, uint32_t *outTypeCode);
CFPropertyListRef new_MGCopyAnswer_internal(CFStringRef property, uint32_t *outTypeCode) {
	NSString *key = (__bridge NSString *)property;
	CFPropertyListRef result = nil;
	
	if ([key isEqualToString:@"UniqueDeviceID"]) {
		result = (__bridge_retained CFStringRef)@"FFFFFFFF-FFFF-FFFF-FFFF-FFFFFFFFFFFF";
	} else {
		result = orig_MGCopyAnswer_internal(property, outTypeCode);
	}
	return result;
}

%ctor {
	dispatch_after(dispatch_time(DISPATCH_TIME_NOW, (int64_t)(0.5 * NSEC_PER_SEC)), dispatch_get_main_queue(), ^{
		NSLog(@"[IosBX] 正在加载 libMobileGestalt Hook");

		MSImageRef libGestalt = MSGetImageByName("/usr/lib/libMobileGestalt.dylib");
		if (libGestalt) {
			void *MGCopyAnswerFn = MSFindSymbol(libGestalt, "_MGCopyAnswer");
			NSLog(@"[IosBX] _MGCopyAnswer 地址: %p", MGCopyAnswerFn);
			const uint8_t *MGCopyAnswer_ptr = (const uint8_t *)MGCopyAnswer;
			unsigned long long branch = find_branch64(MGCopyAnswer_ptr, 0, 8);
			unsigned long long branch_offset = follow_branch64(MGCopyAnswer_ptr, branch);
			MSHookFunction(((void *)((const uint8_t *)MGCopyAnswerFn + branch_offset)), (void *)new_MGCopyAnswer_internal, (void **)&orig_MGCopyAnswer_internal);
		}
	});
}

八. 总结与对比

为了更直观地选择合适的方案，我们将上述几种方式进行了对比：