服务器端检测与后果处理

本节假设您已经验证了输入和上下文（请参阅前面的部分）。本文讨论在请求在技术上有效但行为看起来具有攻击性后该如何处理，以及如何在不伤害合法玩家的情况下做出反应。

哲学

• 服务器决定。检测和后果处理是在服务器上进行的。尽量不要根据客户端检测直接禁止，因为破解者可以轻松绕过这些检测。
• 首先防止伤害。悄悄中和利用的影响。例如，如果一个玩家正在进行速度作弊，只需将他们弹回到上一个有效位置，而不是立即踢出。仅在必要时惩罚，以保护体验或其他玩家。
• 要成比例并可逆。假设可能发生误判。优先采取可以撤销的措施，例如临时禁用或资源移除，而非永久禁令。
• 设计 > 检测。您的主要安全性来自稳健的验证和限流（在 保护客户端-服务器边界 以及其他部分中讨论）。下面的检测方法是为了补充这些防御，而不是取而代之。

启发式

启发式是行为检查，它会标记在技术上可能但对合法玩家而言极不可能的操作。它们是识别基本验证漏网之鱼的“经验法则”。有效的启发式将玩家的行为与理论最大值或合理基准进行比较。

例如，如果一个玩家突然声称在您的模拟游戏中获得了 10 亿个金币，您的远程验证可能会确认请求格式正确。但是，服务器上的启发式检查会知道获得这么多金币应该需要几周而不是几秒钟，并将该交易标记为可疑。

以下是三个经典的服务器端启发式示例。每一个都验证玩家行为是否符合体验的规则和物理限制，为抵御常见的利用行为提供了强有力的防御。

单独任何一个示例可能不足以定罪作弊者。每个应该被视为信号，而非确定性证据。一个好做法是实施一个怀疑评分。当玩家未通过启发式检查时，您会增加他们的分数。只有在多个不同的检测使玩家分数超过高阈值后才应采取严厉措施，如踢出或禁止。

例如，假设一个技术娴熟的玩家以创纪录的时间完成了您的障碍跑道，触发了您的“最快完成时间”启发式。他们应该被禁止吗？可能他们在利用漏洞，但他们也可能发现了一个合法但意想不到的捷径。仅仅根据这个单一信号就禁止他们是风险很大的，并且可能会惩罚到您最忠实的玩家之一。

但是，如果同一个玩家的表现也标记了“动作节奏”启发式，因其输入的一致性远超人类，并且一个小时后他们在大厅中触发了“获得速度”启发式，那么这个案件就明显强得多。这些不同信号的组合提供了更可靠的作弊描绘。该系统的优势在于关联多个数据点，以便在采取行动之前建立一个有信心的案例。

蜜罐

检测试图探测您体验中的 RemoteEvents 的作弊者的一种方法是使用称为蜜罐的诱饵。蜜罐是一个 RemoteEvent 或 RemoteFunction，对破解者来说看似合法，但从未被您的任何合法客户端脚本使用。因为没有正常玩家应该能够触发这个远程，所以它接收到的任何流量必须是来自破解者。当服务器检测到该远程被触发时，这就是一个非常高置信度的信号，表明客户端正在干预。最佳的立即行动是记录事件并将玩家踢出会话。

另一种变体是设计具有特定方向目的的 RemoteEvents - 一些仅用于客户端 → 服务器通信，另一些仅用于服务器 → 客户端通信。虽然事件名称并未透露其预期方向，但服务器跟踪每个远程的使用方向。如果破解者尝试从客户端触发服务器 → 客户端远程，这就是一个可靠的检测方法，因为合法游戏永远不会在错误的方向上触发通信。

施加后果

当检测系统标记可疑行为时，请仔细考虑您的响应策略。不同的体验需要根据其社区、竞争性赌注和对干扰的容忍度采取不同的方式。

后果阶梯 - 大多数体验更适合于逐步升级的回应，而不是直接跳到永久禁令：

• 静默记录 - 在不影响玩家的情况下积累证据
• 静默缓解 - 阻止利用的影响（丢弃请求、限制值、同步正确状态）
• 临时限制 - 限制特定能力（交易、排行榜、匹配）
• 可见执法 - 踢出、临时禁令或永久禁令

战略考量

• 延迟可见后果以避免教会破解者确切的检测触发原因
• 匹配严重性与回应 - 轻微经济利用可能需要与破坏游戏物理的作弊不同的处理
• 考虑您的社区 - 竞争性体验可能需要比休闲体验更严格的执行
• 规划错误 - 在检测信心较低时倾向于可逆的措施

对于持久性违规者，请考虑使用 Ban API 而不是仅仅依赖踢出。Ban API 防止被禁止的玩家重新加入，并提供更好的跨宇宙跟踪。版本控制您的检测规则并跟踪后果率，以便您可以识别有问题的系统。监控玩家反馈以评测您的执法是否对社区公平。正确的平衡完全取决于您体验的需求和玩家的期望。