【安全加密】时间戳校验：客户端时间不可信的三层应对

实战应用：用在哪里

签到、限时活动、冷却判定都依赖时间。客户端时间可以被随意拨动，直接信任它会出现“拨时间无限签到”“冷却瞬间结束”。时间校验的设计原则：客户端时间只用于显示，一切判定以服务器时间为准；客户端与服务器的时钟偏差用偏移量补偿。

服务器时间为唯一事实源

-- 冷却判定：客户端只发请求，不带“剩余时间”
function CD.canCast(player, skillId)
    local readyAt = CD.store[player.uid .. ":" .. skillId]
    return not readyAt or os.time() >= readyAt      -- 服务器 os.time()
end

冷却的到期时间由服务器在施放时写入（服务器时间 + 冷却时长），查询也用服务器时间。客户端展示的倒计时从服务器的剩余秒数同步，本地点头只做视觉递减，归零后再向服务器确认一次。

偏移量的测量与补偿

倒计时展示需要客户端本地递减，为避免两端时间差导致的显示偏差，客户端登录时测一次偏移：发一个带服务器时间戳的握手包，offset = serverTime - localTime，之后的显示用 localTime + offset 换算。偏移量在长连接期间固定，重连时重测。

攻击场景对照

拨快本地时间：签到请求带的时间以服务器为准，伪造时间被忽略，重复签到被幂等挡下。拨慢本地时间：冷却显示更长但服务器已到点，玩家重新打开界面即恢复正常。回放旧的签到请求：防重放签名与 nonce（协议安全篇）拦截。三层配合后，时间类漏洞在测试清单里可以画掉。

偏移量的重测时机：长连接期间网络抖动会让测量值漂移，握手测一次后每 30 分钟重测一轮并做平滑（新偏移与旧偏移加权平均），避免单次测量毛刺导致倒计时跳变。显示层的容差设为一秒：本地递减到零后再等服务器确认，两次确认之间的显示保持零值不动，玩家感知为平滑结束。

本文由 996 技术组基于 996 引擎官方知识库与浮生梦老师课程体系整理。团队长期从事传奇类引擎 Lua 后端逻辑、客户端界面与商业版本交付，内容以官方知识库与真实项目为出处，按版本持续修订。