保护移动应用程序中的服务器URL

我知道这听起来非常愚蠢，但我找不到任何方法来解决这个问题

假设我有一个移动应用程序：从这个应用程序中，在购买了一个项目后，由于该项目可以从服务器下载，我让用户将一个文件下载到他的设备上。问题是，即使是不太聪明的人，也很容易获得文件的URL，因此，不太聪明的人最终可以免费下载相同的文件（使用普通浏览器）

---

除了我使用的语言（这里不重要，可以是JavaScript、Java、Objective-C等等），我如何在不开发身份验证系统的情况下防止这个问题？

为成功购买生成令牌，将其存储在服务器端会话或数据库中。添加令牌作为文件下载请求的查询字符串参数。为文件下载请求实现筛选器以验证令牌

---

为了确保URL不可共享-查找设备的某些不易被欺骗的唯一属性，散列（URL、令牌、唯一属性）并将其添加到URL。

IIRC，这甚至不会通过用户体验指南，因为您在IAP之外从应用程序内购买。科尔，我不确定，但是如果你想从苹果（图书馆/报纸）商店下载PDF，文件必须在你的服务器上，而不是苹果。但我可能错了。有一种临时代币是个好主意吗？是的，使用临时代币更好。唯一的问题是，在成功购买后，如果由于某种原因下载失败，用户应该能够稍后下载，到期时间应该考虑到这一点。