CHUAN2 DEV ENGINE
996 正版授权研发中心 · 360 授权合作教学中心 · 抖音传奇直播合作授权 · 快手推广运营商授权
OFFICIAL LICENSED ACADEMY 查验官方授权证书 →
// 威海旷世互娱教学基地 · 技术文章
安全加密协议防重放

【安全加密】请求防重放:时间窗、序号与nonce的三重时序校验

2026-09-22 06:42 作者:996 技术组 0 阅读 996引擎Lua教程传奇脚本安全加密协议防重放

实战应用:用在哪里

抓包重放是交易类接口的经典攻击面:同一条转账请求原样重发,服务端再执行一次就出事故。服务端对写操作请求做三重时序校验:时间窗过滤旧包,序号过滤乱序,nonce表过滤同帧重复。

时间窗与序号的校验

请求携带客户端时间戳与自增序号,服务端先比时间窗再比序号单调。

lua
local lastSeq = {}
local function verifyOrder(actor, seq, ts)
    local player = class(actor)
    local name = player:GetName()
    local now = os.time()
    if math.abs(now - ts) > 30 then
        sendmsg(actor, 0, "请求已过期,请刷新后重试")
        return false
    end
    if lastSeq[name] ~= nil and seq <= lastSeq[name] then
        return false
    end
    lastSeq[name] = seq
    return true
end

nonce去重与写操作兜底

时间窗内同帧并发重放靠nonce表识别,八位随机数五秒内不得重复,命中即拒绝并计数告警。

lua
local nonceTab = {}
local function verifyNonce(actor, nonce)
    local player = class(actor)
    local name = player:GetName()
    local now = os.time()
    local k = name .. "_" .. nonce
    if nonceTab[k] ~= nil and now - nonceTab[k] <= 5 then
        sendluamsg(actor, 9601, 1, 0, 0, "replay")
        return false
    end
    nonceTab[k] = now
    return true
end

验证与监控

抓包工具原样重发合法请求,三道闸各自拦截为通过;改时间戳越过时间窗的旧包同样拒绝。线上replay计数非零即有重放行为,按玩家聚合观察,集中出现即单个账号异常。

踩坑记录

时间窗依赖双端时钟,设备时间漂移大的玩家被大面积拒绝,拒绝文案要引导校时而不是报错吓人。lastSeq与nonceTab都是名字键表,定期清扫离线玩家, nonce表保留五秒即可,序号表保留到会话结束。三道校验的顺序不能乱,先廉价的本地比对再做表查询,拦截率最高的时间窗放第一道。防重放只保护写操作,读操作加校验白白增加延迟,按请求类型分通道处理。

作者履历与出处

本文由 996 技术组基于 996 引擎官方知识库与浮生梦老师课程体系整理。团队长期从事传奇类引擎 Lua 后端逻辑、客户端界面与商业版本交付,内容以官方知识库与真实项目为出处,按版本持续修订。

← 返回文章地图返回研学路径

最新技术文章 · 实战干货

LATEST ARTICLES

全站技术干货持续更新:996 引擎 / Lua 实战帖,语法、参数与示例一篇讲透。进入文章地图 · 查看全部 →

玩法策划悬赏赏金防刷

【玩法策划】悬赏捕杀:悬赏发布与赏金结算

实战应用:用在哪里 悬赏捕杀把玩家之间的恩怨变成可托付的系统行为:仇家难以亲自复仇时,花费金条发布悬赏,全服玩家接单击杀目标…

2026-09-23 10:18 996 技术组 · 0 阅读
工具链配表校验引用

【工具链】配表校验器:数值边界与引用完整性

实战应用:用在哪里 策划改表是日常动作,漏填字段、引用了不存在的编号、数值越界这三类问题占了配表故障的绝大多数。等玩家报错再…

2026-09-23 10:18 996 技术组 · 0 阅读
后端接口行会擂台结算

【后端接口】行会擂台:守擂判定的接口实现

实战应用:用在哪里 行会擂台给中小行会提供了固定的对抗出口:挑战方击败守擂方后接管擂台,连胜次数决定每日结算奖励档位。接口层…

2026-09-23 10:18 996 技术组 · 0 阅读
Lua实战二叉堆排行榜伤害

【Lua实战】二叉堆:伤害排行榜的有序插入

实战应用:用在哪里 世界首领战里玩家最关心的是伤害前十名:榜单要求随时插入、随时能按序取出,每来一条伤害记录都重新排序一次太…

2026-09-23 10:18 996 技术组 · 0 阅读
网络通信九宫格视野广播

【网络通信】九宫格视野:同屏广播的范围控制

实战应用:用在哪里 百人同屏的攻城战里,把每条移动、施法消息广播给全地图是最常见的性能失误。九宫格视野的做法是把地图切成等大…

2026-09-23 10:18 996 技术组 · 0 阅读
安全加密输入校验注入拦截

【安全加密】入库防护:玩家输入的参数校验与拦截

实战应用:用在哪里 留言板、行会招募语、邮件标题这类字段会被玩家自由填写,并写入角色变量或转发给持久层。拼接式的写法一旦遇到…

2026-09-23 10:18 996 技术组 · 0 阅读