【安全加密】异地登录检测：IP 基线与登录地点变更告警

实战应用：用在哪里

账号在两地短时间先后登录（北京下线、广州上线），几乎必然是密码泄露或共享账号。异地登录检测用"地点变更 + 时间间隔"计算旅行速度，速度超过物理上限即判定为异常登录。适用于登录风控、资产操作前置校验、盗号早期告警。

速度计算：IP 归属地 + 球面距离

IP 归属地库（离线 IP 库）把登录 IP 解析为经纬度，两次登录的球面距离除以时间差得到"旅行速度"：

local function travelSpeed(loginA, loginB)
    local dist = haversine(loginA.lat, loginA.lon, loginB.lat, loginB.lon)
    local hours = (loginB.ts - loginA.ts) / 3600
    if hours <= 0 then return 99999 end
    return dist / hours                      -- km/h
end

-- 判定：速度超过 900km/h（民航上限）判为异地异常

900km/h 的阈值参考民航巡航速度，火车（300km/h）与自驾不会误报。同城市内运营商 IP 段跳变（几公里级别）天然低于阈值，不构成误报。

分级处置与误报治理

异常登录分两级处置：可疑级（速度 900~3000km/h）放行登录但强制下线前一会话，并推送异地提醒；危险级（超 3000km/h 或高频换地）要求二次验证（密保问题/绑定验证），未通过则只允许浏览模式。误报治理三条：玩家常用地点表随验证结果自动扩充（验证过的新地点成为基线）；运营商级 NAT 出口导致的 IP 跳变通过 IP 段相似性豁免；所有判定留日志供申诉复核。

数据沉淀

异地检测的记录是风控数据资产：按账号聚合的登录地点序列可以画出"账号旅行史"，盗号者的高频迁移轨迹在序列上一目了然。配合设备指纹（多维度比对篇）与登录防爆破（节流篇），账号安全的四道防线就完整了。实测某服上线三个月，异地告警确认的盗号案例 41 起，全部在资产损失发生前完成干预——这是风控体系里投入产出比最高的单项。

本文由 996 技术组基于 996 引擎官方知识库与浮生梦老师课程体系整理。团队长期从事传奇类引擎 Lua 后端逻辑、客户端界面与商业版本交付，内容以官方知识库与真实项目为出处，按版本持续修订。