防止 Javascript 游戏调整/黑客攻击

Question

由于最近浏览器的增强，使用 canvas 和 javascript 开发游戏已成为一个不错的选择，但现在代码很容易访问，只需编写即可

javascript:score=99999

或

javascript:lives=99

会破坏游戏目标。

我知道通过一些服务器端检查可以完成某些事情，但我更愿意访问服务器只是为了在最后存储玩家统计数据，或者在大多数情况下甚至只使用客户端。

我想知道是否至少有一些最佳实践可供开始。

（使用不那么明显变量名称是一个开始，但还不够）

-已添加-

感谢您的回复，我正在寻求改进客户端代码，足以阻止“临时黑客”，但仍使代码尽可能干净。 任何真正想要破解它的人无论如何都会成功，即使通过服务器端检查，正如我在许多 Flash 游戏中看到的那样。

Answer 1

我会说我在评论中所说的：将每个源代码放在(function(){ }()); 中。然后，无法从外部访问变量和函数。

例子：

(function(){
    var a = 'Foo';
    var b = 42;
    function helloWorld(a,b){
        for(i=0;i<b;i++)console.log(a);
    }
    helloWorld(a,b);
});
//Can't access to a, b, or helloWorld using javascript: or default console of Google Chrome,
//but people still can see by looking source code and may be modified by other tools
//(see comments of Tom & user120242)

当我深入研究 Les Paul Google Doodle 时，我“学习”了这项技术。

为了更安全（不是完全安全，但会惹恼一些黑客），请使用 YUI compressor 或 packer 之类的工具压缩和混淆您的脚本。

Answer 2

一种方法是将每次移动的记录也发送到服务器，然后验证这些移动是否会获得该分数。

这对于单人纸牌或国际象棋等游戏来说很容易，但对于更复杂的游戏则不然。

一个更简单的版本是计算每秒或每次移动可以获得的最大分数，然后验证分数不高于你的理论最大值。

另一种方法是将每次移动记录在服务器上，并在服务器上计算得分。这意味着游戏结束时没有发送，并且这些变量仅用于显示，而不是实际得分。

离线游戏可以在高分表上加星标或其他内容以表明它们未经验证。

值得指出的是，对于任何 javascript 调试器，例如 Webkit 中的 Inspector、Firefox 中的 Firebug 或 Opera 上的 Dragonfly，即使您的代码处于闭包中，在客户端更改变量的值也是微不足道的。任何形式的混淆都是没有意义的，因为在玩游戏时很容易观察哪个变量对应于分数，以及任何编码或任何内容都可以简单地从代码中读出。

Answer 3

按优先顺序：

1. 将玩家移动或统计数据发送到服务器。防止奇怪的行为。 例如：得分过高、无效动作、无法重播的动作等
2. 防止客户端出现异常行为。与上面相同，但不在服务器上。例如：生活突然改变、移动速度过快等
3. 创建混淆的 JS 输出（无论如何您都应该这样做以减小 JS 大小）例如：GWT（Java 到 JS 编译器）、Google Closure Compiler（ADVANCED_OPTIMIZATIONS 会混淆更多，--output-wrapper (function(){%output %})() 包裹在闭包中），Yahoo Compressor
4. 混淆变量值，例如：编码字符串（xor、替换、BASE64），不要使用正常的变量增量
5. 使用闭包来封装变量名：(function(){code here})()

编辑：我想明确指出，正如 Rich Bradshaw 所说，最好的解决方案仍然是将计算转移到服务器上。这些东西只能做这么多，即使你混淆了代码。

这是一个也适用于您的 Javascript 游戏的链接，我认为这可能是您问题的最佳答案：What is the best way to stop people hacking the PHP-based highscore table of a Flash game

从该链接获得的最重要的想法是：

我们的目标不是阻止这一切 攻击;是为了让攻击更 比真的要贵 擅长游戏并击败它。