棋牌游戏的灰色产业链里，外挂、作弊器屡禁不止。有些麻将外挂能透视其他玩家手牌，甚至控制摸牌顺序。怎么从技术层面最大限度防作弊？本文提供一整套可落地的方案。
一、防作弊的核心原则：服务端绝对权威
这是最基本的理念：所有关键逻辑必须在服务端执行。客户端只做界面展示和发送操作请求，所有结果由服务端计算并下发。具体包括：
- ✅ 牌墙生成：在服务端进行，客户端永远不知道整副牌的顺序
- ✅ 摸牌：服务端摸牌后只告诉客户端"你摸到了一张牌"（不告诉具体是什么牌？不对，麻将必须知道自己摸到什么牌，所以服务端告知牌值，但发牌顺序不可被客户端影响）
- ✅ 胡牌判断：客户端点击"胡"后，服务端重算手牌是否能胡
- ✅ 随机种子：使用服务端生成的随机数种子，并记录日志
二、通信加密与防篡改
1. 协议加密
WebSocket通信全部走WSS，这是基础。更进一步可以对业务消息体做AES加密 + 签名校验，防止中间人抓包篡改。签名可以用HMAC-SHA256，密钥定期下发。
2. 指令重放防御
外挂可能会拦截"出牌"指令并重复发送，导致同一张牌出两次。解决：每条指令带有一个递增的seqId，服务端记录上次处理的最大seqId，重复或乱序的指令直接丢弃。
三、客户端加固方案
1. 代码混淆
无论是Unity(C#)还是Cocos Creator(TypeScript)，发布前必须做代码混淆。让反编译后的代码难以阅读，增加外挂开发成本。
2. 反调试检测
检测是否被挂载了调试器（如Xposed、Frida），发现后直接闪退或上报服务器封号。
3. 资源文件加密
图片、音效、配置文件不要直接放在包体，可以AES加密后运行时解密。
💡 特别注意：Unity游戏使用IL2CPP打包，比Mono更难反编译；Cocos Creator可以集成JSC(JavaScript Core)混淆工具。
四、行为检测风控模型
很多外挂不是通过篡改客户端，而是模拟点击，在AI辅助下自动打牌。这种情况需要用行为分析：
- 打牌速度异常快（每次出牌<100ms）→ 可能是脚本
- 准确率过高（比如每局都能听牌）→ 异常模式
- 账号IP聚集（多个账号同IP同时游戏）→ 团伙作弊
可以在服务端收集每局数据，训练一个简单的异常检测模型，通过离群点分析找出可疑玩家。
五、第三方专业方案
如果团队资源有限，可以直接接入成熟的游戏安全SDK：
- 网易易盾：提供反外挂、加固、反作弊一体方案
- 腾讯ACE：腾讯游戏安全方案，支持Unity/Cocos
- FairGuard：专注Unity手游保护
这些SDK能防御内存修改、变速器、加速器、模拟器多开等常见外挂手段。
📞 贵阳艺青网络科技 开发的棋牌游戏系统内置成熟的防作弊模块，包括服务端权威校验、通信加密、行为风控等。如需安全加固或棋牌定制，欢迎联系。