برای موارد 2 و 3 از پرداخت درون برنامه ای ( با مکانیزم های خاصی برای کنترل و پیاده سازی ) تا حد بسیاز زیادی میشه جلوگیری کرد.

چند نکته که قابل توجه هستش ( خود بازار هم گفته ) مبحث رمزنگاری و کنترل خرید هستش

اونهایی که سرور ندارن (مثل من ) باید این کنترل خرید رو در سمت برنامه چک کنن.(جلوگیری از جعل کردن خرید)

در بخش ارسال درخواست خرید به بازار :

در مبحث رمزنگاری ابتدا باید SKU و publicKey رو بصورت رمز شده در برنامه خودتون قرار بدید.
به این صورت که شما باید دو متد برای رمزنگاری و خارج کردن از رمزنگای درست کنید.
و در هر بار استفاده از خرید SKU وpublickey رو از رمز خارج و برای بازار ارسال کنید.

دوم RC_REQUEST هستش
سعی کنید بجای استفاده از یک کد ثابت، با استفاده از الگوریتمهای تولید کد . در هربار خرید یک کد جدید تولید کنید و همراه با درخواست خریدتون به بازار ارسال کنید

سوم: developer_payload  هستش
یک الگوریتم بنویسید که برای هر گوشی یه کد یونیک ( یکتا ) تولید کنه.
این کد رو هم همراه با خرید به بازار ارسال کنید.

در بخش دریافت پاسخ از بازار :
( دو بخش خرید جدید یا قبلا خرید کرده )

در قسمت خرید جدید :
موارد ارسال شده رو از خرید انجام شده بدست بیارید و با برنامه خودتون چک کنید
1) sku دریافتی رو با sku برنامه خودتون چک کنید
2) rc_request دریافتی رو با rc_reques تولید شده توسط برنامه در هنگام ارسال خرید چک کنید
3) developer_payload دریافتی رو با developer_payload ارسالی هنگام خرید چک کنید.
در صورت درست بودن تمامی موار بالا ، خرید رو در برنامه خودتون تایید کنید.
نکته : جهت اطمینان بیشتر یکبار دیگه درخواست تایید خرید رو به بازار ارسال و پاسخ دریافتی رو دوباره طبق موارد بالا چک کنید تا خیالتون از بابت تایید خرید توسط بازار راحت بشه.

در قسمت قبلا خرید کرده:
باید 
sku
token
developer_payload
رو روی گوشی خریدار بزارید ( حتما رمزنگاری شده باشه)
در هنگام بالا اومدن برنامه دنبال کد خاص خودتون بگردید( در صورت پیدا نشده از بازار استعلام کنید و خرید رو تایید کنید و دوباره کد رو در گوشی قرار بدید)

sku , developer_payload رو خودتون یتونید توی برنامه تون چک کنید
در صورتی که هنوز هم شک دارید که خرید انجام شده یا خیر
یک درخواست تایید خرید به بازار ارسال کنید و پاسخ دریافتی رو با موارد موجود در برنامه چک کنید

sku دریافتی رو با sku خرید خودتون
developer_payload رو با developer_payload برنامه
token دریافتی رو با token ذخیره کرده در گوشی چک کنید.

در صورت مغاییرت هر کدوم از موارد بالا خرید و تایید نکیند و برنامه رو حالت Premium  خارج کنید و خرید رو فعال کنید

در مواردی که سرور داشته باشید میتونید این برر سی ها در سرور انجام بدید که احتمال هک کردن اون خیلی کمتر هستش

همیشه با این فکر جلو برید که برنامه شما Premium  نیست مگر اینکه خلافش ثابت بشه.
اینجوری میتونید موارد خیلی بیشتری رو مد نظر داشته باشید. که ممکنه من در نظر نگرفته باشم