我正在谈论一款没有上限得分并且无法通过重播动作等方式在服务器上验证分数的动作游戏。
我真正需要的是在Flash / PHP中尽可能强大的加密方法，并且防止人们以除了我的Flash文件之外的方式调用PHP页面。 我曾经尝试过一些简单的方法，比如多次调用单个得分并完成校验和/斐波那契序列等，还使用Amayeta SWF Encrypt混淆SWF，但它们最终都被黑客攻破了。
由于StackOverflow的回复，我现在从Adobe找到了一些更多信息 - http://www.adobe.com/devnet/flashplayer/articles/secure_swf_apps_12.html 和 https://github.com/mikechambers/as3corelib - 我想我可以用它们来进行加密。但不确定这是否可以规避CheatEngine。
如果AS2和AS3不同，我需要了解它们的最佳解决方案。
主要问题似乎是诸如TamperData和LiveHTTP headers之类的东西，但我了解还有更先进的黑客工具，如CheatEngine（感谢Mark Webster）。
这是互联网游戏和竞赛中的一个经典问题。你的Flash代码需要与用户一起决定游戏的分数。但是，用户是不可信的，而Flash代码则运行在用户的计算机上。你可能会面临困难，因为没有什么方法可以防止攻击者伪造高分：
Flash比你想象的更容易被逆向工程破解，因为其字节码已经被很好地记录并描述了一种高级语言(Actionscript)——当你发布Flash游戏时，你实际上就是发布你的源代码，无论你是否知道。
攻击者控制Flash解释器的运行时内存，这意味着任何知道如何使用可编程调试器的人都可以随时更改任何变量(包括当前得分)，或更改程序本身。
针对你的系统的最简单的攻击方法是通过代理运行游戏的HTTP流量，捕获高分保存并回放更高的得分。
你可以尝试通过将每个高分保存绑定到游戏的单个实例来阻止此类攻击，例如，在游戏启动时向客户端发送加密令牌，它可能看起来像：
hex-encoding( AES(secret-key-stored-only-on-server, timestamp, user-id, random-number))
（你也可以使用会话cookie实现同样的效果。）
游戏代码将此令牌与高分保存一起发送回服务器。但攻击者仍然可以只需再次启动游戏，获取令牌，然后立即将该令牌粘贴到重新播放的高分保存中。
因此，接下来您需要提供不仅令牌或会话cookie，还需要提供一个加密高分的会话密钥。这将是一个128位AES密钥，本身使用硬编码到Flash游戏中的密钥进行加密：
hex-encoding( AES(key-hardcoded-in-flash-game, random-128-bit-key))
现在，在游戏发布高分之前，它会解密高分加密会话密钥。这是因为您已将高分加密会话密钥解密密钥硬编码到Flash二进制文件中。使用解密后的密钥，您将高分数与高分数的SHA1哈希一起加密：
hex-encoding( AES(random-128-bit-key-from-above, high-score, SHA1(high-score)))
服务器上的PHP代码会检查令牌，以确保请求来自有效的游戏实例，然后解密加密的高分，并检查高分是否与其SHA1相匹配（如果跳过此步骤，解密将只产生随机且很高的高分）。
现在攻击者反编译您的Flash代码，并快速找到AES代码，这明显突出，即使没有，他也可以通过内存搜索和追踪器在15分钟内找到它（“我知道我的游戏得分是666，让我们在内存中找到666，然后捕捉任何涉及该值的操作---哦看，高分加密代码！"）。有了会话密钥，攻击者甚至无需运行Flash代码；她获取游戏启动令牌和会话密钥，就可以发送任意的高分。
现在，大多数开发人员都放弃了---或多或少地与攻击者纠缠了几个月，方式如下：
使用XOR操作混淆AES密钥
使用计算密钥的函数替换密钥字节数组
在二进制代码中散布伪造的密钥加密和高分提交。
这基本上都是浪费时间。不用说，SSL也无法帮助您；当两个SSL终端点中的一个是恶意的时，SSL无法保护您。
以下是一些真正可以减少高分欺诈的方法：
要求登录以玩游戏，让登录生成会话cookie，并且不允许同一会话有多个未完成的游戏启动或同一用户有多个并发会话。
拒绝持续时间小于历史上最短实际游戏时间的游戏会话提交的高分（对于更复杂的方法，请尝试为持续时间低于平均游戏时间2个标准偏差的游戏会话设定“隔离”高分）。确保服务器端跟踪游戏持续时间。
拒绝或隔离那些只玩过一两次游戏的登录帐户的高分记录，这样攻击者就必须为每个登录创建一个看起来合理的游戏过程“纸质记录”。
在游戏过程中进行“心跳”得分（例如，在一次游戏过程中查看得分增长情况），因此您的服务器可以拒绝不遵循合理得分曲线（例如从0跳到999999）的高分记录。
在游戏过程中捕捉“快照”游戏状态（例如弹药量、关卡位置等），以便稍后与记录的中间得分进行对比。即使一开始没有检测这些数据的异常方法，您只需收集它们，如果出现问题，则可以回头分析它们。
禁用任何未通过安全检查的用户帐户（例如提交未经验证的加密高分记录）。
请记住，这里只是在阻止高分欺诈。你无法完全防范它。如果你的游戏中涉及到金钱，有人将会打败你设计出的任何系统。目标不是停止这种攻击，而是让攻击的代价大于仅仅成为游戏高手并赢得胜利。
请记住，如果共享密钥对用户可访问，则上述任何技术的安全性都会受到威胁
作为替代方案，可以通过强制客户端通过HTTPS与服务器通信并确保客户端预配置为仅信任您拥有访问权限的特定证书颁发机构签名的证书来避免其中一些来回过程。
我喜欢tpqf说的话，但与其在发现作弊时禁用账户，不如实施一个蜜罐，这样每次他们登录时，都会看到自己的被黑客攻击的分数，并且从不怀疑自己已被标记为恶意用户。搜索"phpBB MOD Troll"，你将看到一个巧妙的方法。
private function addPoint(event:Event = null):void{
trace("expectedHash: " + expectedHash + " || new hash: " + MD5.hash( Number(SCORES + POINT).toString() + expectedHashSalt) );
if(expectedHash == MD5.hash( Number(SCORES + POINT).toString() + expectedHashSalt)){
SCORES +=POINT;
callPhp();
expectedHash = MD5.hash( Number(SCORES + POINT).toString() + expectedHashSalt);
} else {
//trace("cheat engine usage");
}
}
使用这种技术和SWF混淆，我成功地阻止了黑客的攻击。此外，当我将分数发送到服务器端时，我会使用自己的小型加密/解密函数。代码如下（未包含服务器端代码，但可以看到算法并在PHP中编写）：
package {
import bassta.utils.Hash;
public class ScoresEncoder {
private static var ranChars:Array;
private static var charsTable:Hash;
public function ScoresEncoder() {
}
public static function init():void{
ranChars = String("qwertyuiopasdfghjklzxcvbnm").split("")
charsTable = new Hash({
"0": "x",
"1": "f",
"2": "q",
"3": "z",
"4": "a",
"5": "o",
"6": "n",
"7": "p",
"8": "w",
"9": "y"
});
}
public static function encodeScore(_s:Number):String{
var _fin:String = "";
var scores:String = addLeadingZeros(_s);
for(var i:uint = 0; i< scores.length; i++){
//trace( scores.charAt(i) + " - > " + charsTable[ scores.charAt(i) ] );
_fin += charsTable[ scores.charAt(i) ];
}
return _fin;
}
public static function decodeScore(_s:String):String{
var _fin:String = "";
var decoded:String = _s;
for(var i:uint = 0; i< decoded.length; i++){
//trace( decoded.charAt(i) + " - > " + charsTable.getKey( decoded.charAt(i) ) );
_fin += charsTable.getKey( decoded.charAt(i) );
}
return _fin;
}
public static function encodeScoreRand(_s:Number):String{
var _fin:String = "";
_fin += generateRandomChars(10) + encodeScore(_s) + generateRandomChars(3)
return _fin;
}
public static function decodeScoreRand(_s:String):Number{
var decodedString:String = _s;
var decoded:Number;
decodedString = decodedString.substring(10,13);
decodedString = decodeScore(decodedString);
decoded = Number(decodedString);
return decoded;
}
public static function generateRandomChars(_length:Number):String{
var newRandChars:String = "";
for(var i:uint = 0; i< _length; i++){
newRandChars+= ranChars[ Math.ceil( Math.random()*ranChars.length-1 )];
}
return newRandChars;
}
private static function addLeadingZeros(_s:Number):String{
var _fin:String;
if(_s < 10 ){
_fin = "00" + _s.toString();
}
if(_s >= 10 && _s < 99 ) {
_fin = "0" + _s.toString();
}
if(_s >= 100 ) {
_fin = _s.toString();
}
return _fin;
}
}//end
}
然后我将变量与其他虚拟变量一起发送，但它在途中就丢失了...... 为了一个小的flash游戏而付出如此多的努力，但是当涉及到奖品时，有些人就变得贪婪了。 如果需要任何帮助，请给我写私信。
祝好，Ico
根据我的经验，这个问题最好从社交工程的角度来解决，而不是编程问题。不要着重于让作弊变得不可能，而是通过消除作弊的动机使其变得无聊。例如，如果主要的动机是公开可见的高分，那么只需延迟显示高分即可显著减少作弊，因为这样可以消除作弊者的正反馈循环。
您不能信任客户端返回的任何数据。必须在服务器端执行验证。虽然我不是游戏开发人员，但我确实制作商业软件。在这两种情况下都可能涉及资金，人们会破解客户端模糊技术。
也许可以定期将数据发送回服务器并进行一些验证。不要专注于客户端代码，即使您的应用程序存在于其中。