玩家行为验证

概述

客户端永远不可信——这是游戏安全的第一原则。玩家可以改包、写脚本、伪造消息，服务器必须对每一个操作做验证：出牌合法性校验（服务端权威）、操作频率限制（防脚本）、行为日志与审计（事后追溯）。本文建立一套完整的玩家行为验证体系。

---

一、服务端权威原则

1.1 为什么客户端不可信

客户端可被修改：
  破解客户端 → 伪造消息
  内存修改 → 改金币/血量
  脚本外挂 → 自动操作、超人手速

对策：核心判定全部在服务器
  客户端只发"意图"，服务器决定"结果"

权威范围：
  出牌合法性：服务器判
  伤害/得分：服务器算
  货币增减：服务器管
  客户端状态：仅供参考，可被纠正

1.2 服务端权威落地

每个操作的两段式处理：
  1. 校验（Validation）：允许吗？
  2. 执行（Execution）：计算并广播
  校验失败 → 拒绝 + 记录 + 可能警告/封禁

---

二、出牌合法性校验

2.1 校验维度

维度	校验内容	例子
身份	是否当前回合玩家	不是你的回合
时机	是否合法阶段	开局不能出牌
资源	是否有牌/金币	出牌必须持有
规则	是否符合玩法规则	必须大过上家
状态	玩家是否存活/在线	已判负不能操作

2.2 规则校验实现

public class PlayValidator {

    // 出牌校验：返回拒绝原因，null 表示通过
    public String validate(Room room, long playerId, PlayAction action) {
        TurnManager tm = room.getTurnManager();
        // 身份校验
        if (!tm.isCurrentPlayer(playerId)) {
            return "不是你的回合";
        }
        // 阶段校验
        if (tm.getState() != TurnState.THINKING) {
            return "当前阶段不可出牌";
        }
        // 资源校验：手牌持有
        HandCards hand = room.getHandCards(playerId);
        if (!hand.contains(action.getCards())) {
            return "你没有这些牌";
        }
        // 规则校验：能否大过上家
        if (!ruleEngine.canBeat(action.getCards(), room.getLastPlay())) {
            return "打不过上家";
        }
        return null; // 全部通过
    }
}

校验设计要点：
  校验集中在一个 Validator，规则可配
  校验失败不抛异常而是返回原因（供客户端提示）
  校验在房间锁内执行（串行）
  校验与执行原子（校验通过立即执行，防竞态）

2.3 数值合法性校验

除出牌外，还有数值类校验：
  货币操作：数量为正、不超过余额
  道具操作：持有数量足够
  抽奖：概率表服务端配置、次数校验
  核心原则：一切由服务器从权威状态计算

---

三、操作频率限制

3.1 为什么要限频

脚本外挂特征：
  高频操作（每秒数十次）
  人不可能达到的速度
  自动化重复（固定模式）

限频作用：
  限制单玩家操作速率
  发现异常速率 → 警告/降级/拒绝

3.2 频控实现

public class RateLimiter {

    private final ConcurrentHashMap<Long, Counter> counters = new ConcurrentHashMap<>();

    // 玩家级频控：例如每 5 秒最多 10 次操作
    public boolean allow(long playerId, int maxPerWindow, long windowMillis) {
        Counter c = counters.computeIfAbsent(playerId, k -> new Counter());
        return c.tryAcquire(maxPerWindow, windowMillis);
    }
}

频控维度：
  玩家级：每秒操作次数上限
  房间级：房间内广播/事件频率
  全局级：登录、注册频率

频控策略：
  超限拒绝 + 返回"操作过快"
  连续超限 → 临时封禁（如 10 分钟）
  高频 + 异常模式 → 人工/自动审核

3.3 频控与业务解耦

实现位置：
  网关层限频（连接级粗限）
  业务层限频（操作级细限）
  两层结合：网关防洪峰，业务防脚本

注意：
  频控阈值要适配正常玩家的操作上限
  阈值过低会误伤正常玩家（体验）

---

四、行为日志与审计

4.1 记录什么

必记日志：
  关键操作：出牌、结算、货币变动
  异常行为：校验失败、频控拒绝
  连接事件：登录、登出、顶号

日志字段（TraceId 贯穿）：
  playerId、roomId、opcode、参数、结果
  时间戳、服务器节点、TraceId

4.2 审计用途

用途	说明
反外挂	异常行为模式分析
对账	货币流水审计
客服	玩家投诉溯源
运营	行为数据分析
安全	攻击溯源

审计要求：
  日志只增不改（追加写）
  关键日志留档（满足合规周期）
  日志可检索（ELK 平台，见运维章节）

4.3 异常行为上报

异常检测：
  校验失败率过高 → 疑似外挂
  操作频率异常 → 疑似脚本
  多人同 IP 同房间 → 疑似团伙作弊
  胜负异常模式 → 疑似刷分

处理：
  记录 + 上报风控
  按严重度：警告 / 限频 / 封禁
  封禁需人工复核（误封影响体验）

---

五、验证链路完整流程

一次出牌的完整链路：
  1. 网关解码 → 消息分发
  2. 业务 Handler 调用 PlayValidator.validate()
  3. 校验通过 → 执行 + 广播
  4. 校验失败 → 返回原因 + 记录日志
  5. 频控检查（操作前/后）
  6. 关键操作写行为日志（含 TraceId）

纵深防御（多层）：
  协议层：长度/魔数校验
  网关层：连接频控
  业务层：规则/资源校验
  数据层：版本号/幂等
  行为层：频控/异常分析

---

六、常见问题

问题	处理
校验通过瞬间被绕过	校验与执行原子（同一锁内）
频控误伤正常玩家	阈值按真实操作分布设定
日志量太大	分级采样，关键日志必记
外挂不断变化	行为分析模型持续更新
封禁误判	异常先警告，封禁人工复核

---

七、小结

行为验证是"服务端权威"的具体实现：出牌合法性校验从身份、时机、资源、规则、状态五个维度把好每步操作，校验与执行在房间锁内原子完成；操作频率限制以玩家级+网关级两层频控拦截脚本外挂，超限拒绝并升级处理；行为日志与审计记录关键操作与异常行为，支撑反外挂、对账与客服。整个体系纵深防御：协议、网关、业务、数据、行为五层各守一段。核心信念只有一条：客户端只发意图，结果永远由服务器裁决，这是反外挂的根本。