Библиотека больше не работает

[KyberPrizrak]

Раньше все работало отлично. А сегодня получил ошибку при вызове CheckExistRequest:
{"update":true,"appstore":"https://apps.apple.com/ru/app/%D0%BF%D1%80%D0%BE%D0%B2%D0%B5%D1%80%D0%BA%D0%B0-%D1%87%D0%B5%D0%BA%D0%BE%D0%B2-%D1%84%D0%BD%D1%81-%D1%80%D0%BE%D1%81%D1%81%D0%B8%D0%B8/id1169353005","playmarket":"https://play.google.com/store/apps/details?id=ru.fns.billchecker","appstorebutton":"Обновить","playmarketbutton":"Обновить","message":"Уважаемый пользователь! \nДоступна новая версия приложения, пожалуйста установите обновление."}

[Andrey9995]

Видимо больше и не заработает, последний коммит 2 года назад. Придется использовать официальное АПИ ФНС и получать мастер-токен на организацию. Эх, как все было просто с этой библиотекой

[AsuRaHan]

да лазеичку прикрыли в ФНС. придется снова ломать их обновленную приложуху для того что бы использовать новое API.

[KyberPrizrak]

Протокол похоже вообще поменяли, т.к. приложение теперь лезет не на https://proverkacheka.nalog.ru:9999/
а на https://irkkt-mobile.nalog.ru:8888/

[MaiorovYury]

Протокол похоже вообще поменяли, т.к. приложение теперь лезет не на https://proverkacheka.nalog.ru:9999/
а на https://irkkt-mobile.nalog.ru:8888/

а какие там методы используются, вам не удалось понять?
И как вы поняли, что именно по этому адресу идут новые запросы?
Я пробовал отсканировать чек в приложении с включенным canary http сниффере, но приложение выдавало "Неизвестная ошибка" - видимо у них стоит защита от снифферов

[KyberPrizrak]

MaiorovYury, я же выше написал: запросы идут по https, а значит весь трафик зашифрован. Обычный сниффер тут не поможет.
Тут нужна либо декомпиляция apk-файла (ищи утилиты: apktool, apkstudio, dex2jar, jd-gui), или отладка.

[pch-coder]

Ушел от налоговой на сервис https://proverkacheka.com/ Предоставляют API по запросу.

[3bl3gamer]

Судя по http://leftjoin.ru/all/sobiraem-dannye-s-chekov-gipermarketov-na-python/ (камент внизу), теперь надо слать запросы на POST https://irkkt-mobile.nalog.ru:8888/v2/ticket c {"qr":"<данные из QR-кода>"} и GET https://irkkt-mobile.nalog.ru:8888/v2/tickets/<айди из ответа выше> для получения чека.

Вот только оба запроса требуют sessionId, и откуда его брать — не ясно.

Можно попробовать декомпилить приложение через какой-нибудь http://www.javadecompilers.com и покопаться в сорцах. В файле LoginApi.java есть такой кусок:

    @GET("/v2/mobile/users/esia/auth/url")
    C4804m<Response<EsiaGetUrlResponse>> getUrlOAuthEsia();

    @POST("/v2/mobile/users/esia/auth")
    C4804m<Response<LoginResponse>> loginEsia(@Body EsiaLoginRequest esiaLoginRequest);

    @POST("/v2/mobile/users/lkfl/auth")
    C4804m<Response<LoginResponse>> loginLkFL(@Body LkFkLoginRequest lkFkLoginRequest);

    @POST("/v2/mobile/users/social/auth/ok")
    C4804m<Response<LoginResponse>> loginSocial(@Body OkLoginRequest okLoginRequest);

    @POST("/v2/mobile/users/social/auth/vk")
    C4804m<Response<LoginResponse>> loginSocial(@Body VKLoginRequest vKLoginRequest);

    @POST("v2/auth/phone/verify")
    C4804m<Response<LoginResponse>> loginUser(@Body PhoneLoginRequest phoneLoginRequest);

    @POST("/v2/mobile/users/signup")
    C4804m<Response<Void>> registerUser(@Body RegisterUserRequest registerUserRequest);

    @POST("v2/auth/phone/request")
    C4804m<Response<Void>> singInByPhone(@Body PhoneSignInRequest phoneSignInRequest);

v2/auth/phone/request — начало регистрации по номеру, там надо отправить параметры phone, client_secret, captcha и os.

v2/auth/phone/verify — продолжение, принимает phone, code и client_secret. Вроде как возвращает в том числе как раз искомый session_id.

Теоретически, можно в приложении разгадать капчу, получить код, заслать его по последнему адресу и получить айди сессии. Практически он возвращает 400 без комменатриев. phone/request — аналогично. Более того: их кривое приложение тоже молча не принимает код из СМС.

[3bl3gamer]

UPD: если девайс рутован, sessionId можно вытащить из
/data/data/ru.fns.billchecker/shared_prefs/ru.fns.billchecker_preferences.xml, искать KEY_ACCESS_TOKEN. На нерутованном, возможно, можно вытащить этот файл с помощью adb backup, если гугл ещё не сломал его окончательно.

Дальше можно сделать

curl -X POST 'https://irkkt-mobile.nalog.ru:8888/v2/ticket' \
  --data '{"qr":"<данные из QR-кода>"}'
  -H 'sessionId: <айди сессии>'
  -H 'Content-Type: application/json'

В ответ придёт

{"kind":"kkt","id":"<айди чека>","status":0}

Нюанс 0: Content-Type: application/json нужен для отправки JSON'а, иначе придёт ответ fiscalData parameter is required (возможно, сервер подефолту пытается парсить запрос как форму).

Нюанс 1: даже для невалидных (протухших?) чеков придёт такой же ответ, но в ответе на /v2/tickets/<id> данные чека будут пустыми.

Ну и потом

curl 'https://irkkt-mobile.nalog.ru:8888/v2/tickets/<айди чека>'
  -H 'sessionId: <айди сессии>'
  -H 'Device-OS: Android 4.4'
  -H 'Device-Id: iPhone 12'

В ответ придёт

{
  "id": "<id>",
  "status": 2,
  "kind": "kkt",
  "createdAt": "2020-08-14T10:07:19+03:00",
  "statusDescription": {},
  "qr": "<данные из куера>",
  "operation": { "date": "2020-07-26T04:41:00+03:00", "type": 1, "sum": 8080 },
  "seller": { "name": "ИП ...", "inn": "1234567890" },
  "process": [{ "time": "2020-08-14T10:07:19+03:00", "result": 2 }],
  "query": {
    "operationType": 1,
    "sum": 8080,
    "documentId": 55123,
    "fsId": "9280440300312584",
    "fiscalSign": "1857231278",
    "date": "2020-07-26T04:41"
  },
  "ticket": {
    "document": {
      "receipt": {
        "dateTime": 123546789,
        "authorityUri": "www.nalog.ru",
        "cashTotalSum": 0,
        "ecashTotalSum": 8080,
        "fiscalDocumentNumber": 55123,
        "fiscalDriveNumber": "9280440300312584",
        "fiscalSign": 1857231278,
        "items": [
          {
            "name": "083385:хлеб Гречневый 400г СП (БЕЗ НДС)",
            "price": 5790,
            "quantity": 1,
            "sum": 5790
          },
          ...
        ],
        "kktRegId": "0047419162022120",
        "ndsNo": 8080,
        "operationType": 1,
        "operator": "Глебова",
        "receiptCode": 3,
        "requestNumber": 109,
        "retailPlaceAddress": "...",
        "shiftNumber": 230,
        "taxationType": 2,
        "totalSum": 8080,
        "user": "ИП ...",
        "userInn": "1234567890"
      }
    }
  },
  "organization": { "name": "ИП ...", "inn": "1234567890" }
}

Для невалидного (протухшего?) чека придёт

{
  "id": "<id>",
  "status": 8,
  "kind": "kkt",
  "createdAt": "2020-08-14T10:15:10+03:00",
  "statusDescription": {},
  "qr": "<данные из QR-кода>",
  "operation": { "date": "2019-07-26T04:41:00+03:00", "type": 1, "sum": 8080 },
  "process": [],
  "query": {
    "operationType": 1,
    "sum": 8080,
    "documentId": 55123,
    "fsId": "9280440300312584",
    "fiscalSign": "1857231278",
    "date": "2019-07-26T04:41"
  }
}

Нюанс 0: заголовки Device-OS и Device-Id нужны, без них в ответ придёт Device-OS header is missing. / Device-Id header is missing..

[keremet]

Можно извлекать данные о чеке так:
curl --data "fn=9251440300109733&fd=96304&fp=3341119416&n=1&s=55.00&t=02.08.2020+16%3A12&qr=0" https://proverkacheka.com/check/get

{"code":1,"data":{"json":{"user":"ООО Бэст Прайс","items":[{"sum":5500,"name":"Водная игра с колечками ИМП","price":5500,"ndsSum":500,"ndsRate":2,"quantity":1,"calculationTypeSign":4,"calculationSubjectSign":1}],"nds10":500,"fnsUrl":"www.nalog.ru","rawData":"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","userInn":"5047085094","dateTime":"2020-08-02T16:12:00","kktRegId":"0001289808001478 ","metadata":{"id":"202008022021fc7ea9992270f30dd9b3f6c4f839fea1e328dc816b85d105b68ab8e9dea6","_id":{"$oid":"5f26bbd238ded66ec74df101"},"fsId":"9251440300109733","ofdId":"ofd1","subtype":"receipt","kktRegId":"0001289808001478","documentId":96304,"receiveDate":{"$date":1596373969620},"v2ValidateErr":"["#/: Additional properties not allowed: prepaymentSum,postpaymentSum,counterSubmissionSum,fnsUrl,protocolVersion,retailPlace"]","protocolVersion":"2","protocolSubversion":1},"operator":"Михайлова Светлана Николаевна ","totalSum":5500,"fiscalSign":"3341119416","receiptCode":3,"retailPlace":"магазин 2479","shiftNumber":277,"cashTotalSum":0,"taxationType":1,"ecashTotalSum":5500,"operationType":1,"prepaymentSum":0,"requestNumber":241,"postpaymentSum":0,"protocolVersion":2,"fiscalDriveNumber":"9251440300109733","retailPlaceAddress":"610000, г.Киров, ул.Воровского, д.71/80","counterSubmissionSum":0,"fiscalDocumentNumber":96304},"html":"<table class="b-check_table table"><tr class="b-check_vblock-middle b-check_center"><td colspan="5">ООО Бэст Прайс</td></tr><tr class="b-check_vblock-middle b-check_center"><td colspan="5">610000, г.Киров, ул.Воровского, д.71/80</td></tr><tr class="b-check_vblock-middle b-check_center"><td colspan="5">ИНН 5047085094</td></tr><tr class="b-check_vblock-middle b-check_center"><td colspan="5"> </td></tr><tr class="b-check_vblock-middle b-check_center"><td colspan="5">02.08.2020 16:12</td></tr><tr class="b-check_vblock-middle b-check_center"><td colspan="5">Чек № 241</td></tr><tr class="b-check_vblock-middle b-check_center"><td colspan="5">Смена № 277</td></tr><tr class="b-check_vblock-middle b-check_center"><td colspan="5">Кассир Михайлова Светлана Николаевна </td></tr><tr class="b-check_vblock-last b-check_center"><td colspan="5">Приход</td></tr>№</strong></td>Название</strong></td>Цена</strong></td>Кол.</strong></td>Сумма</strong></td></tr><tr class="b-check_item">1</td>Водная игра с колечками ИМП</td>55.00</td>1</td>55.00</td></tr><tr class="b-check_vblock-first"><td colspan="3" class="b-check_itogo">ИТОГО:</td></td><td class="b-check_itogo">55.00</td></tr><tr class="b-check_vblock-middle"><td colspan="3">Наличные</td></td>0.00</td></tr><tr class="b-check_vblock-middle"><td colspan="3">Карта</td></td>55.00</td></tr><tr class="b-check_vblock-middle"><td colspan="3">НДС итога чека со ставкой 10%</td></td>5.00</td></tr><tr class="b-check_vblock-last"><td colspan="5">ВИД НАЛОГООБЛОЖЕНИЯ: ОСН</td></tr><tr class="b-check_vblock-first"><td colspan="5">РЕГ.НОМЕР ККТ: 0001289808001478 </td></tr><tr class="b-check_vblock-middle"><td colspan="5">ЗАВОД. №: </td></tr><tr class="b-check_vblock-middle"><td colspan="5">ФН: 9251440300109733</td></tr><tr class="b-check_vblock-middle"><td colspan="5">ФД: 96304</td></tr><tr class="b-check_vblock-middle"><td colspan="5">ФПД#: 3341119416</td></tr><tr class="b-check_vblock-last"><td colspan="5" class="b-check_center"><img src="/qrcode/generate?text=t%3D20200802T1612%26s%3D55.00%26fn%3D9251440300109733%26i%3D96304%26fp%3D3341119416%26n%3D1" alt="QR код чека" width="35%" loading="lazy"></td></tr></tbody></table>"}}

[3bl3gamer]

Как минимум для некоторых старых (2019 год) чеков proverkacheka.com возвращает ошибку {"code":5,"data":"Нет информации по чеку (прочее)."}. А вот апи ФНС возвращает чек.

[3bl3gamer]

UPD: /v2/auth/phone/verify всё-таки работает, для неё нужно передать валидный client_secret. Его можно достать из файлов приложения из /data/data/ru.fns.billchecker/shared_prefs/ru.fns.billchecker_preferences.xml из значения VERSION. Этот секрет вычисляется внутри приложения из его подписи и, возможно, одинаковый для всех. Но я в этом не уверен, потому выкладывать свой не буду.

В общем...

План работы с АПИ

Все запросы идут на https://irkkt-mobile.nalog.ru:8888. POST'ы — c Content-Type: application/json. client_secret вынимается из VERSION приложения (см. выше).

POST /v2/auth/phone/request

Туда:

{"phone": "+79876543210", "client_secret": "sec123", "captcha": "???", "os": "Android"}

Оттуда:

Неизвестно.

Начало регистрации по номеру. Чтоб метод сработал, нужно отправить значение из гуглокапчи. Как его получать — не знаю, можно этот шаг пройти руками через приложение (разгадать капчу, выслать СМС-код себе на номер).

POST /v2/auth/phone/verify

Туда:

{"phone": "+79876543210", "code": "1234", "client_secret": "sec123"}
Доп.заголовки:
Device-OS: Android
Device-Id: Android

Оттуда:

{"sessionId": "sess12345", "refresh_token": "refr12345", "phone": "+79876543210"}

Подтверждение номера по коду из СМС. Возвращает айди сессии, с которым можно выполнять остальные запросы, и токен для обновления айди сессии (последний протухает через день-два).

Этот этап тоже можно пойти вручную через приложение и вынуть из ru.fns.billchecker_preferences.xml ещё и KEY_REFRESH_TOKEN.

POST /v2/mobile/users/refresh

Туда:

{"client_secret":"sec123", "refresh_token":"refr12345"}

Оттуда:

{"sessionId":"sess23456","refresh_token":"refr34567"}

Запрашивает новые айди сессии и токен (сессия протухает через 1-2 суток). Принимает предыдущий токен (полученный из /auth/phone/verify или /mobile/users/refresh).

POST /v2/ticket

"Создаёт" чек на сервере ФНС, возвращает айди, по котром уможно получить данные чека. Подробнее: #3 (comment)

GET /v2/tickets/<айди чека>

Возвращает данные чека. Подробнее: #3 (comment)

Статусы

У чеков есть status, его возвращает и /v2/ticket, и /v2/tickets/<id>. В декомпиленных сорцах рядом с некоторыми значениями есть текст:

5:  Ожидает соединения
8:  Автономная касса / Чек корректен, но отсутствует в хранилище: касса автономна
9:  Ошибка получения
15: Не кассовый чек / Чек не является кассовым чеком или БСО

Если передать неправильные параметры из QR-кода, тоже может придти статус 8 (Автономная касса).

Иногда приходят статусы 0/1/3. Точное их значение неизвестно, это что-то вроде "чек есть, ещё не загружен". При получении такого статуса стоит перезапросить чек через несколько секунд.

Для валидных чеков приходит статус 2.

[kuznetsov-m]

Можно извлекать данные о чеке так:
curl --data "fn=9251440300109733&fd=96304&fp=3341119416&n=1&s=55.00&t=02.08.2020+16%3A12&qr=0" https://proverkacheka.com/check/get

{"code":1,"data":{"json":{"user":"ООО Бэст Прайс","items":[{"sum":5500,"name":"Водная игра с колечками ИМП","price":5500,"ndsSum":500,"ndsRate":2,"quantity":1,"calculationTypeSign":4,"calculationSubjectSign":1}],"nds10":500,"fnsUrl":"www.nalog.ru","rawData":"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","userInn":"5047085094","dateTime":"2020-08-02T16:12:00","kktRegId":"0001289808001478 ","metadata":{"id":"202008022021fc7ea9992270f30dd9b3f6c4f839fea1e328dc816b85d105b68ab8e9dea6","_id":{"$oid":"5f26bbd238ded66ec74df101"},"fsId":"9251440300109733","ofdId":"ofd1","subtype":"receipt","kktRegId":"0001289808001478","documentId":96304,"receiveDate":{"$date":1596373969620},"v2ValidateErr":"["#/: Additional properties not allowed: prepaymentSum,postpaymentSum,counterSubmissionSum,fnsUrl,protocolVersion,retailPlace"]","protocolVersion":"2","protocolSubversion":1},"operator":"Михайлова Светлана Николаевна ","totalSum":5500,"fiscalSign":"3341119416","receiptCode":3,"retailPlace":"магазин 2479","shiftNumber":277,"cashTotalSum":0,"taxationType":1,"ecashTotalSum":5500,"operationType":1,"prepaymentSum":0,"requestNumber":241,"postpaymentSum":0,"protocolVersion":2,"fiscalDriveNumber":"9251440300109733","retailPlaceAddress":"610000, г.Киров, ул.Воровского, д.71/80","counterSubmissionSum":0,"fiscalDocumentNumber":96304},"html":"

№НазваниеЦенаКол.Сумма1Водная игра с колечками ИМП55.00155.000.0055.005.00

ООО Бэст Прайс
610000, г.Киров, ул.Воровского, д.71/80
ИНН 5047085094
02.08.2020 16:12
Чек № 241
Смена № 277
Кассир Михайлова Светлана Николаевна
Приход
ИТОГО:			55.00
Наличные
Карта
НДС итога чека со ставкой 10%
ВИД НАЛОГООБЛОЖЕНИЯ: ОСН
РЕГ.НОМЕР ККТ: 0001289808001478
ЗАВОД. №:
ФН: 9251440300109733
ФД: 96304
ФПД#: 3341119416

"}}

Спасибо за альтернативный API.
К сожалению, многие чеки (даже этого месяца) не извлекаются. Кажется, тут собираются данные только некоторых ОФД. :(

[pch-coder]

Спасибо за альтернативный API.
К сожалению, многие чеки (даже этого месяца) не извлекаются. Кажется, тут собираются данные только некоторых ОФД. :(

Насколько мне известно, на сервисе proverkacheka.com используется как официальный API в качестве источника данных, так и не официальный. Можете привести пару примеров чеков, которые не возвращаются. С ОФД точно сервис не работает.

[titov-vv]

Вот только оба запроса требуют sessionId, и откуда его брать — не ясно.
Теоретически, можно в приложении разгадать капчу, получить код, заслать его по последнему адресу и получить айди сессии. Практически он возвращает 400 без комменатриев. phone/request — аналогично. Более того: их кривое приложение тоже молча не принимает код из СМС.

SessionId можно брать тремя путями:

1. через номер телефона.
   Тут проблема только в reCAPTCHA для андроид - на андроиде это вызов одной функции, которая возвращает токен. Как сделать точно такой же вызов google API не с андроид - непонятно.
2. через логин-пароль личного кабинета налоговой.
   Тут всё просто, даже писать не о чем.
3. через ЕСИА - логин на госуслугах. В целом несложно - сервер возвращает URL на госуслуги, его надо отобразить пользователю в виде вебстранички. Далее всё делается пользователем через браузер и при успешном логине идёт редирект на irkkt-mobile.ru через 302-й код ответа. Его нужно перехватить и забрать оттуда ответный токен госуслуг.

[titov-vv]

POST /v2/auth/phone/request

Туда:

{"phone": "+79876543210", "client_secret": "sec123", "captcha": "???", "os": "Android"}

Оттуда:

Неизвестно.

Известно. Если запрос выполнится успешно (капча пройдёт) то в ответ прилетит код ответа 204 No Content и SMS на телефон.

Начало регистрации по номеру. Чтоб метод сработал, нужно отправить значение из гуглокапчи. Как его получать — не знаю, можно этот шаг пройти руками через приложение (разгадать капчу, выслать СМС-код себе на номер).

POST /v2/auth/phone/verify

Известно. Токен получается в ответ на вызов функции verifyWithRecaptcha из гугл-апи на Андроиде. Там также есть привязка к имени приложения - т.е. просто вызвать эту функцию с нужными параметрами из другого приложения не получится :( Если пробовать эмулировать с компа - то она шлёт POST-запрос на https://www.google.com/recaptcha/api2/mframe с кучей не всегда очевидных параметров - в ответ прилетает HTML-страница для разгадки капчи (у меня толком не получилось её отобразить....)