如何检测和防止滥用在线游戏API？

我一直在业余时间一直在致力于游戏创意。游戏玩法和内容使其可以实现为使用完善的网络技术构建的在线多人游戏。您应该知道，它属于策略和模拟类型。这意味着：不能与字符或类似内容四处奔波，而只能执行诸如“在位置X上构建事物A”之类的原子动作（关于客户端-服务器通信）。

有一次我意识到存在一个巨大的问题：基于REST API后端的基于浏览器的前端使其成为机器人的绝佳目标。尽管自动化对于企业来说是可取的，但它却对游戏乐趣无益。过去，我是在浏览器游戏中亲身经历的，最成功的玩家是机器人，它征服了所有人。

从我当前的角度来看，在基于REST API构建多人在线游戏时，我看不出有任何防范僵尸程序的可能性。例外：将其开源，以便每个人都可以托管自己的私有组实例，甚至只是一个人（以免被僵尸机器人惹恼）。

有什么办法可以区分只为下一个可能的动作设置警报的诚实玩家和自动抓住一切机会出现的机器人。除了诸如captchas这样的节目停止者。如果没有，我会考虑另一种技术堆栈，这至少会使与客户端-服务器通信（本机代码客户端中的专有加密二进制协议）混乱的难度更大。

编辑：谢谢，您的回答令人鼓舞，但也让我意识到，不能通过进一步研究游戏细节来制定特定的对策。但是，对于Stack Exchange上的一个问题来说，这太多了。所以我只想指出最重要的几点：

• 玩家随时随地都在探索，发展和管理。脱机时，他们的业务仍然运转良好（这是一个和平的游戏，不涉及任何武器）。只有扩张和进步才需要玩家采取行动。这些动作受到以下因素的限制：
• 时间是关键资源之一（例如在EVE Online技能培训中）。游戏中的所有流程都需要它。24/7全天候在线是没有意义的。普通玩家应该已经成功，每天花一两个小时不超过一个小时（大致来说，这个概念还在开发中）。

如果人们想要机器人，我认为您不能真正阻止他们。

当然，您可以实施许多措施，这些措施或多或少使您感到痛苦。但是，您只能在代码库变成巨大的混乱，难以维护，容易出错并惹恼合法用户之前做很多事情。同时，冲突者总是会找到一种方法来击败您的对策：

• 他们比你更多
• 他们有更多的空闲时间（您必须在实际开发和bot验证之间分配时间，他们可以整天破解bot代码）
• 当您创建古怪，具有挑战性的防护措施时，将进一步鼓励机器人作者，因为打破机器人防护的乐趣很有趣
• 如果存在从机器人中获利的人的黑市，那么您越难编写机器人，则有价值的机器人将变得越有价值，因此您就会激发机器人攻击

基本上，您将被困在与冲锋队的军备竞赛中，并且根据上述要点的逻辑以及我在此类游戏中的经验，您将无法跟上步伐。

一些游戏开发人员采取了非常激进的反作弊措施：例如，Steam会扫描内存和文件系统以查找黑客攻击，而犯罪者可能会因丢失价值数百美元的帐户而受到惩罚。但是仍然有用于Steam游戏的机器人程序和其他黑客工具，其中一些甚至可以使用一半的时间。与它们不同，您拥有一个向用户开放的API，并且无法控制用户计算机。从一开始，这是一场艰苦的战斗。

您要解决的问题本质上是图灵测试：除了这是非常简单的图灵测试之外，因为您无法通过要求诸如语言之类的硬AI问题来作弊。不管您创建了多少种启发式方法，botter都会在机器人的动作中添加一些随机性以使其几乎完全模仿人类，这是微不足道的。让机器人观察一下您玩一点，甚至学会如何像您一样精确地计时动作，这甚至都不是难事。然后，当你禁止机器人，该botter职位巨大的咆哮关于他如何只是专用播放器论坛（也许他是实际上是一个假阳性）的铁杆玩家，你的核心观众将揭竿而起反对你。

使游戏太有趣了

有人使用机器人的主要原因是因为他们想跳过游戏的一部分。如果他们喜欢游戏并发现它很有趣，那么他们就不会让机器人玩游戏，而是自己玩游戏。

但是，如果游戏是如此无聊，为什么还要玩呢？大概，游戏的某些部分很无聊，必须去玩一些有趣的部分。例如，在MMO中​​，每个人都喜欢上一个关卡，但是没人愿意杀死42,324只不死的毒鼠来获得XP。因此，他们让机器人可以随意玩耍。

这并不是对您或您的游戏的批评，但显然至少有些玩家认为您的游戏有些乏味。您应该看看是否可以减少这些乏味的部分，并考虑添加更困难，更有意义的决策：与人类智力相比，机器人不擅长深层次的战略或横向思考，而且人类还喜欢做出艰难的游戏决策。

从您的描述中，我得到的印象是这是一个类似于Travian的浏览器游戏，其中有一个构建队列，其中包含一个最佳构建顺序和必须执行的某些“维护”（例如继续进行农业突袭）任务。您说没有冲突，但是在任何MMO戏剧中，小政治都是不可避免的（IMO是主要吸引力），因此，我敢肯定您的玩家会找到对头的方法。在这类游戏中，很多乏味来自于这些“维护”任务-玩家真正想做的是结成同盟并与敌对氏族玩外交游戏，然后维护成为一种税费，您必须唤醒最多在奇数小时发出警报，让其进入有趣的外交环节。所以切掉乏味：

不幸的是，这种方法可能并不总是有效。并非所有的玩家对乏味的玩法都具有相同的容忍度或相同的娱乐概念。您可能拥有99％的玩家喜欢的杰出技工，但1％的玩家却觉得无聊。如果1％的人随后开始编写机器人，从而破坏了99％的乐趣怎么办？但是最终，这是一个程度的问题。您永远无法完全消除僵尸，但可以将损失降至最低。

咬边冲击波

机器人的许多真正负面影响来自将其商业化的机器人作者。如果您是这种情况，则可以与机器人竞争。许多基于实时的在线游戏已经具有高级功能，可以进行时间跳过和自动化（例如扩展的构建队列）。这些相当于开发人员认可的官方机器人。如果您有这些东西，并对其进行适当定价，玩家将购买您的溢价而不是购买机器人。好消息是，您要负责API，因此您始终会在为自己的游戏开发质量自动化方面拥有强大的优势，因此，这对傻瓜游戏来说是一场失败的战斗。

这不会消除业余爱好者，也不会消除认为您的保费不是物有所值的人们，因此，此方法的有效性取决于情况。

手动寻找

就像我上面说的，您要做的本质上是图灵测试。由于与人的互动通常被认为是图灵测试中的一项艰巨挑战，因此您可以尝试利用它。

手动检查顶级玩家，看看是否发现任何可疑的东西。您甚至可以偶尔通过仅局限于您的想象力的方式来探究它们，以查看是否可以欺骗该机器人执行它不会做的事情。

虽然很难编写一种能够可靠地检测到机器人的算法，但对于人类来说，学习如何发现它们并不难。我认为许多浏览器游戏都使用这种策略，并且效果非常好。缺点是您要么一直需要做很多无聊的工作，要么需要向游戏管理员付费以进行定期的机器人巡逻。

抵御机器人攻击的最好，唯一有效的防御方式是设计游戏时，玩家首先无需感到需要自动化。当您的玩家自动执行实际上不需要技能的简单任务时，这表明您的用户界面不足，并且他们正在替换缺少的UI功能。

• 您的游戏中是否包含重复性任务，玩家在其中反复执行相同的动作以进行磨削？

  减少游戏的这些方面的重复性，并使其更有趣和更有趣。

• 您的游戏是否要求玩家在不方便的时间（例如半夜或工作时）执行动作？

  允许他们将订单排队（例如“先构建X1，然后X2，然后X3，并在资源可用时立即开始构建”），或者提前计划特定时间的操作（在3:22 AM处构建X）。

• 您的游戏是否要求玩家在很短的时间内对事件采取行动？

  允许他们以自动触发这些动作的方式配置游戏

  • 当建筑物X被毁时，请立即对其进行重建。
  • 当某人以少于Y钱的价格提供资源X时，立即购买最多Z个单位。
  • 当库存量超过Y单位时自动售出所有资源X，但每单位价格不低于Z货币。

监视您的社区。当您发现他们可以自动执行其他操作时，请窃取该创意，然后添加选项以将其自动化到核心游戏中。

不要让您的游戏容易受到现场约翰尼之苦

首先，请确保每天只在一次坐着玩20分钟或一个小时的游戏的玩家，相对于那些每天在游戏中开放并每天玩16个小时的玩家来说，没有太大的不利之处。

这可能需要改变您的游戏机制-例如，在您不玩游戏时填满一个移动分配，并允许玩家在可以玩时执行许多快速移动，而不是需要不断趋向的机制。

这将抑制机器人制造商的积极性，因为他们可以跟上游戏的发展，并且他们没有迫切需要制造自动机器人来为他们执行动作的情况。

需要每个操作的服务器信息，并使服务器响应变慢

当玩家玩游戏时，他们会请求一个页面，该页面向他们展示与之交互以移动的UI。您可以插入元素，例如不可见的表单元素，以验证它们首先实际请求了页面。服务器存储的随机数，以及用户的ID和他们最后请求的页面。发生操作时，服务器将验证该用户是否返回了相同的随机数，并且正在对他们最后一次访问的页面执行操作。这不仅意味着该机器人必须为每个动作进行两次API调用，而且普通用户不能打开多个页面并执行连续的快速动作（如果这是您的设计问题）。

这两个API调用为您提供了一种在以后降低机器人速度的方法。最终，您将看到可疑的模式，并且能够了解它们。当您的服务器检测到可疑模式时，它会在第一次调用中延迟一秒钟的API响应-这会惹恼用户，但实际上会降低机器人的速度。此外，如果第二个请求“过快地”返回（无论对您的游戏意味着什么），那么您可以拒绝它，或者重新加载页面，其中包含游戏中的错误或请求重新提交的原因。“您不能很快建立它。请花点时间。” 例如。

倾听您的用户，您会发现他们觉得满意，并惹恼了他们。

采取行动和行动需要思考

如果游戏只是一个简单的按钮单击器，那么您就不能对机器人做太多事情。考虑重新设计您的游戏，以便游戏本身执行类似验证码的测试。

对游戏一无所知，我不能提出太多建议。如果涉及选择建筑物的放置位置，请设计界面，以便用户可以选择任何位置，即使有明显的放置位置无效。或者，用户必须正确匹配方向才能成功放置。如果涉及选择一个动作，则包括一个较长的动作列表，其中某些动作在给定的情况下是没有意义的。

包括随机的非常简单的机器人检查

添加一个偶然对话框，“确定吗？” 例如。经常更改问题和措辞，并将其用作机器人的现场检查。

更改API

经常更改API，迫使他们实际解析网页以获取正确的变量以及如何将其返回给Web服务器。如果使用模板开发界面，则将模板替换为对每个变量名称使用加盐哈希或随机变量生成器的代码。然后开始使用javascript对响应进行编码，并经常更改该编码。您可能可以编写可以为您完成所有这些工作的软件，并且可以使所有内容始终处于随机状态，或者只是执行您偶尔更改的静态模板。

你不能阻止他们。但是您可能会使他们的生活痛苦不堪，因为他们必须花费大量时间来编写自己的机器人并进行更新。您必须使用所需的一切来验证用户是否有效。

• 检查请求标头，并拒绝具有无效值的请求。设置自定义标头或检查现有的用户代理。当然，这很容易克服，但检查起来更容易。如果没有经验，可能要花点时间考虑一下！您的任务是迫使其中许多人放弃权利吗？
• 您的请求中可能包含某种哈希签名或某些某种东西，这些是在客户端使用某些功能生成的。好吧，那就继续改变它！将其设置为单独的不可缓存脚本，并随机更改它。通过在哈希处理过程中添加随机盐，使其中的几个变得很少，或者即时编辑。虽然它又一次很容易克服，但这将迫使他们密切注意您的功能。他们可能还需要某种持续的部署管道来保持用户更新。否则，他们的机器人将开始发送不正确的哈希请求。您甚至可以禁止经常这样做的用户。有效的用户无论如何都会在您的客户端周围移动，因此他们将不时地重新获取哈希函数。只需记住也要更新服务器端（基于脚本的后端在这里确实会有所帮助）。
• 跟踪资源使用效率。如果他们立即消费，在负担得起之后，或者总是在从上一个24/7起的1-2秒之内发送新的突袭，那么您正在与一些顽固的玩家或机器人打交道。您要求该人提供验证码，并强制注销他。如果他在注销后仍然发出请求（编写的机器人很差！），那么它就是机器人。如果他尝试多次登录而没有成功，则可能是机器人。如果他花了几个小时才能重新登录，那么他可能是机器人（机器人可能会在此时请求人工帮助，并且所有者可能正在睡觉）。
• IP。这可能会消除机器人销售。如果某人在编写机器人时会考虑$$$，那么他们可能不想共享源代码。他们将出售机器人时间。如果他们很贪心，他们可能会使用一台机器，只有一个或几个ip。这意味着很多用户将开始共享IP。这是有风险的，因为对于共享网络的人来说，情况相同。您将必须检查以前的检查是否在某些IP上成功完成，并手动确定它是合法的用户组还是一系列的机器人。

通常，很难自动区分机器人和人类，某种形式的人类辅助决策过程效果最好。

我会做的：定义一些暗示用户可能是机器人的试探法-做很多动作，做24/7的工作，...如果这些试探法超过某个阈值，请进行侵入性检查。

您可以手动扫描玩家活动，看是否正常。或者您下次用户在线时进行验证码。或者（甚至更强）向他发送聊天消息，说明您怀疑他是机器人，并希望他以类似于人类的方式做出回应，以证明他不是机器人（您过得怎么样？您最喜欢的电影是什么？ ...-您可以有一堆。）如果他根本不响应，则可能是机器人。如果他做出回应，则您可以手动检查答案是否与人相似并禁止机器人。如果您的试探法是合理的，那么将只询问一小部分用户，并且对扫描的响应量将很小。而且，如果您将一系列问题保密且不断变化，除非有人发明了天网，否则就无法准备机器人。

拥抱瓶装水。您已经建立了一个宁静的API，非常适合编码人员尝试游戏的自动化。设计您的游戏玩法，使机器人不会因为自动化而比人类玩家获得优势-消除了机器具有的执行速度等优势；设计您的游戏，以便该机器人在可能的情况下提供与人类玩家相同的收入-或至少提供更丰富的环境来吸引更多人类玩家。

问题是，为什么人们会为您的游戏创建机器人，他们会为此特权付钱？

我不neccessarily与软科学的答案不同意，但也有技术方面的东西，你可以做检测botters和一些事情，只是让生活困难的他们。

• 根据您怀疑他们使用机器人的程度对帐户进行评分。这将引入其他几种技术，并保护合法用户免受您的愤怒。

• 旋转会话cookie密钥。这样可以确保漫游器保留其cookie，但也使僵尸程序很难在浏览器和漫游器之间共享cookie（这在开发和测试时非常方便）。

• 限速某些动作。制定出最快的，你其实可以做一些事情，以及如何监控这些快速的机器人正在这样做。可能还需要保持运行记录并制定标准偏差。即使某人每10秒钟只做某事，即使他们每10秒钟准确地做某事，他们也可能是机器人。修改其评分并注销。

• 使您怀疑可能是机器人的帐户登录更加困难。验证码，问题和其他不可避免的事情使那些可能会打扰的人很难自动编写脚本。

• 监视鼠标/页面的移动。如今，使用javascript相当简单，但机器人不会自然地进行任何鼠标移动。如果您在两次“点击”之间没有获得任何收益，则它们可能是移动设备，也可能是机器人。调查。不过，要记录的数据很多。因此，您可能希望将其保留给已经触发了先前步骤的帐户。

• 建立工具以通过行为，IP，操作序列，操作节奏链接帐户。如果要禁止他人，请确保您具有手动验证其不当行为的工具。

• 旋转出URL模式，CSRF变量等，并经常执行。这是迈出的一大步，可能需要做的事比以往任何时候都要多，但至少，至少所有突然停止工作的帐户（或继续使用旧的URL并发送旧的变量名-记录下来！）需要增加其机器人索引级别。

您是否考虑过使机器人成为游戏的组成部分？如果鼓励每个人创建机器人，那么僵尸程序就很难破坏其他人的游戏。添加对脚本的支持，游戏的动态突然从手动资源管理策略变为机器人设计策略。

创建一个单独的仅机器人程序服务器。创建排行榜并庆祝获胜者。查看此生成的数据。禁止用户使用行为特征类似于机器人的正常服务器。

无论您做什么，请记住不要让真正的玩家感到烦恼！我所看到的许多响应（较慢的页面结果，不允许打开多个页面以加快输入速度，等等）也将阻止合法玩家快速执行操作，这只会不必要地使他们沮丧。

恕我直言，最简单的方法可能是对问题应用社会工程学：1）在您的TOS中添加一个明确的NO-BOT子句，并补充说检测到机器人活动会将玩家从高分列表中删除（或贴上标签“骗子” ”，这样人们就不会对他们感到沮丧；如果走那条路，让人们隐藏作弊者的记录）。

2）检查类似bot的行为（例如，定期定时对服务器执行ping操作，或者连续几个小时达到接近完美的计时），如果是，则将帐户置于“ bot模式”-显示偶尔的验证码和其他信息。如果忽略了这些，但玩家仍在积极地玩游戏，则将其标记为“机器人”，并将其从排名中排除。如果已解决，请将他标记为“强力玩家”，并将其从机器人列表中删除。

这样，绝大多数玩家就不会受到影响，硬核游戏玩家会在短时间内受到影响，而机器人程序不会为其他任何人“破坏游戏”。