【后端接口】gmexecute 与 kick：管理接口的权限收敛与审计

实战应用：用在哪里

gmexecute 让 Lua 脚本调用引擎的 GM 指令，kick 强制断开玩家连接，两个管理接口是运营工具箱里的螺丝刀：好用但要管好。管理接口的权限收敛与审计是它们进入业务代码的前提条件。

GM 指令代理

---执行GM指令 actor:目标 GM:指令名
function gmexecute(actor, GM, ...) end

-- 后台工具：代玩家修复卡死的任务状态
function fixStuckTask(plrName)
    local actor = getplayerbyname(plrName)
    if not actor then return false, "玩家不在线" end
    gmexecute(actor, "ReloadTask")
    sendmsg(actor, 1, "任务状态已修复")
    return true
end

gmexecute 把引擎的 GM 指令集开放给脚本，任务修复、状态重置、地图拉人这些原本要人工敲指令的操作被封装成后台按钮。封装的纪律：每个 gmexecute 的调用点必须有业务封装函数，业务代码禁止直接散调 GM 指令，封装层统一做权限与审计。

踢人与审计

---踢下线 actor:目标
function kick(actor) end

-- 风控踢人：确认后的违规处置
function riskKick(actor, reason)
    setgmlevel(actor, 0)
    kick(actor)
    AdminLog.write("kick", actor:GetName(), reason)
end

kick 前先降权再断线，防止 GM 等级高的违规账号断线后利用保留权限捣乱，处置的顺序是安全的细节。管理操作的审计日志（谁、对谁、做了什么、为什么）是管理接口的影子，没有审计的管理接口不给上线。管理接口的调用者身份校验：后台工具的会话鉴权与操作人的 GM 等级校验在封装层强制。

验证与监控

管理接口的调用审计的抽查制度：每周抽样复核管理操作的正当性，审计的威慑力来自抽查的确定性。

踩坑记录

gmexecute 的指令名曾经大小写敏感，封装层的指令名映射表统一了大小写的归一。kick 的误操作曾经把同名的未违规玩家踢下线，按名字操作的接口全部改为按对象或 UserId 操作，名字只在展示层使用。

上线要点

管理接口的权限模型：操作人的 GM 等级、目标对象的 GM 等级、操作的破坏力等级三维校验，低权操作高权对象直接拒绝。审计日志的保留期与管理操作的责任追溯期对齐，操作日志的存在让每一次管理动作都有回声。管理工具的按钮与 gmexecute 的映射关系文档化，工具的交接与审计依赖这份映射。

本文由 996 技术组基于 996 引擎官方知识库与浮生梦老师课程体系整理。团队长期从事传奇类引擎 Lua 后端逻辑、客户端界面与商业版本交付，内容以官方知识库与真实项目为出处，按版本持续修订。