本帖最後由 Alone 於 2025-5-16 13:34 編輯
我想補充返一段歷史，對於而家有部分人提議「靠手機驗證」、「用邀請碼註冊」甚至「遊戲綁定論壇帳號」等方式去防止惡意註冊或灌水，我其實非常擔心——因為我哋過去已經見過呢啲想法係點樣搞死一個論壇。 大家可能未必記得，舊跑壇（曾經係最大官方論壇區）最後關站，就係因為發生過嚴重的 XSS 漏洞事件。 曾經舊跑Online 版本係可以透過論壇金幣，進行帳號綁定注入惡意 Javascript，但正正就係佢提供咗一個輸入框比黑客，被人發現後用作注入點。進一步串改 Cookie、擷取登入資料，最終取得後台權限，甚至造成： 管理員帳號被盜用； 管理面板被修改； 用戶資料被竄改甚至刪除； 大量討論串被插入跳轉連結、惡意 iframe。
成因就係程式架構（Discuz）太舊、權限太鬆、資料層冇隔離、審核機制靠人手但冇紀錄。
經過呢一次教訓戲谷亦都係停用唒所有有可能會連接數據伺服器同時使用輸入框既地方。
改名卡之前亦都係同樣因為呢一個原因消失喺港跑之中。
❗ 而你哋而家提嘅手機驗證，就更加係虛假安全感請諗清楚：而家網上一次性手機號碼平台（OTP service）一堆堆，單次使用成本只係 HKD $0.01 – $0.03 左右。
要發 1000 個灌水帖，只需要 10 港幣。甚至仲有自動化 API，直接對接註冊表單，一鍵大量註冊兼完成驗證。你封 A、佢再生 B，根本無窮無盡。
我想再補充一點，對於「使用 Discuz! 自帶邀請碼註冊」或「要求與跑Online帳號綁定論壇登入」呢啲建議，我唔認為可以輕易一句話話「有用」就當係解決方案，反而要先諗清楚佢背後會衍生幾多技術同安全層面嘅風險與困難。 以現時《跑Online》遊戲主程式為例，若然要實現論壇帳號與遊戲帳號整合，例如登入時自動讀取論壇名稱、發帖權限、角色資訊等，咁就代表： 遊戲端要同論壇 SQL Server 有直接通訊； 遊戲程式需要內嵌 SQL query 或認證 token 處理邏輯； 甚至可能要用到 API 或共享資料庫表格進行授權管理。
呢啲場景聽落簡單，但實際上非常危險： ❗ XSS／SQL 注入風險會急速上升任何一個會從遊戲端傳遞指令去論壇資料庫嘅機制，只要外掛能夠改寫封包，就可以： 將原本 read-only 查詢轉成 write 權限； 嘗試注入 SQL 語句（例如 UNION SELECT、DROP TABLE）； 甚至刪除帳號、改資料、操控發帖權限、插入隱藏訊息、造假積分。 之前跑online可以使用論壇金幣去綁定論壇帳號 就是其中一黑客用來的接口
呢啲攻擊唔需要 hack 到伺服器，只要改到《跑Online》 client 嘅執行方式（例如 memory patch、DLL injection），就可以從遊戲層入侵論壇資料。
❗ 外掛使用者反而可能借論壇入口逃避偵測
如果某玩家用修改過嘅 client 登入論壇進行操控，又無防爆破解 token 或硬件驗證碼，咁反而變相將論壇開咗個後門，俾啲人用腳本自動發帖、推文、洗互動數據。
✅ 所以真正可行做法，從來都唔係「封」，而係「篩」：運作上將新手放喺 sandbox 階段（少量發言、需累積信任分）； 用戶互評＋系統行為判斷（例如連續多次被 downvote 自動折疊）； 將討論串排序由「發帖時間」改成「互動值」（瀏覽數、回覆質、被點讚次數）； 真正色情／灌水內容由 AI 過濾＋用戶舉報組配合處理； 審核操作必須公開記錄，包括操作人、理由、時間。
你靠手機、邀請碼、TR 價值都係「牆」，但牆係會被翻過去嘅。一個社群真正安全穩定，係靠制度唔係靠門檻。
| 
發表於 
發表於 
