金点兑换系统安全机制调查报告

调查日期: 2026年1月16日 调查范围: GatewayServer、BillServer、UserServer 完整兑换流程 调查目的: 确认移除 GatewayServer 层 20亿硬编码检查后的安全性

一、兑换流程架构

┌─────────────────────────────────────────────────────────────────┐
│                        客户端 (Client)                           │
│                    发送兑换请求 (point=X)                        │
└────────────────────────────────┬────────────────────────────────┘
                                 ↓
┌─────────────────────────────────────────────────────────────────┐
│                   GatewayServer (网关服务器)                      │
│  - 接收客户端 REQUEST_REDEEM_GOLD_PARA 指令                     │
│  - 转发到 BillServer                                            │
│  - 【当前状态】: 无安全检查（代码已回退）                        │
└────────────────────────────────┬────────────────────────────────┘
                                 ↓
┌─────────────────────────────────────────────────────────────────┐
│                    BillServer (计费服务器)                        │
│  - 接收 PARA_REQUEST_GATE_REDEEM_GOLD 指令                     │
│  - 调用 Bill_action 发送到 UserServer                          │
│  - 【当前状态】: 仅记录异常日志（超过20亿），不拦截             │
│  - BillUser 频率限制: 5秒内最多兑换1次                         │
│  - BillUser 流水号验证: 防止重复提交                           │
└────────────────────────────────┬────────────────────────────────┘
                                 ↓
┌─────────────────────────────────────────────────────────────────┐
│                    UserServer (用户服务器)                       │
│  - 接收 AT_CONSUME 扣费请求                                     │
│  - 【核心防护】: 多重安全检查                                    │
└────────────────────────────────┬────────────────────────────────┘
                                 ↓
┌─────────────────────────────────────────────────────────────────┐
│                       MySQL 数据库                              │
│  - 表: POINTBONUS0000                                          │
│  - 字段: uid (INT UNSIGNED), point (INT UNSIGNED)              │
│  - 【底层防护】: UNSIGNED INT 非负数约束                        │
└─────────────────────────────────────────────────────────────────┘

二、各层级安全防护机制详细说明

2.1 GatewayServer 层

文件: /workspace/GatewayServer/GatewayTask.cpp
位置: 行 1761-1789
当前代码:

case REQUEST_REDEEM_GOLD_PARA:
{
    using namespace Bill;
    stRequestRedeemGold *cmd = (stRequestRedeemGold *)ptNullCmd;

    // 【已移除】20亿硬编码检查
    // 原代码: if (cmd->dwNum > 2000000000) { 踢下线 }

    t_Request_Redeem_Gold_Gateway send;
    strncpy(send.account, this->account, MAX_ACCNAMESIZE);
    send.accid = this->accid;
    if (this->pUser)
    {
        send.charid = this->pUser->id;
    }
    send.point = cmd->dwNum;  // 直接转发客户端点数
    accountClient->sendCmd(&send, sizeof(send));
}

安全状态: ❌ 无任何安全检查
影响评估: 不影响整体安全性，因为后端有更严格的验证

2.2 BillServer 层

文件: /workspace/BillServer/BillTask.cpp
位置: 行 287-328
当前代码:

case PARA_REQUEST_GATE_REDEEM_GOLD:
{
    t_Request_Redeem_Gold_Gateway *ptCmd = (t_Request_Redeem_Gold_Gateway *)ptNullCmd;
    BillUser *pUser = BillUserManager::getInstance()->getUserByID(ptCmd->accid);
    if(pUser)
    {
        // 安全检查：仅记录异常日志（超过20亿）
        if(ptCmd->point > 2000000000)
        {
            Zebra::logger->error("[安全] 兑换指令点数异常(account=%s,accid=%d,charid=%d,point=%u,ip=%s),疑似封包篡改",
                                ptCmd->account, ptCmd->accid, ptCmd->charid, ptCmd->point, pUser->getIp());
            // 【注意】不拒绝，继续处理交给 UserServer 验证
        }

        BillData bd;
        memset(&bd, 0, sizeof(bd));
        bd.uid = ptCmd->accid;
        bd.at = Cmd::UserServer::AT_CONSUME;
        bd.point = ptCmd->point;
        strncpy(bd.ip, pUser->getIp(), sizeof(bd.ip));

        // 直接调用 Bill_action，由 UserServer 验证余额
        if (Bill_action(&bd))
        {
            if(!pUser->begin_tid(bd.tid))
            {
                Zebra::logger->debug("添加兑换金币流水错误%s", ptCmd->account);
            }
            else
            {
                return true;
            }
        }
        else
        {
            Zebra::logger->debug("兑换金币错误Bill_action%s", ptCmd->account);
        }

        // 返回失败响应
        t_Redeem_Gold_Gateway rgg;
        strncpy(rgg.account, ptCmd->account, Cmd::UserServer::ID_MAX_LENGTH);
        rgg.accid = ptCmd->accid;
        rgg.charid = ptCmd->charid;
        rgg.dwGold = 0;
        rgg.dwBalance = 0;
        rgg.byReturn = Cmd::REDEEM_FAIL;
        sendCmd(&rgg, sizeof(rgg));
    }
    else
    {
        Zebra::logger->debug("收到兑换金币指令,但是用户不存在%s(%d)", ptCmd->account, ptCmd->accid);
    }
    return true;
}

安全状态: ⚠️ 仅记录异常日志，不拦截
影响评估: 被动防护，不影响核心安全验证

2.3 BillUser 频率限制

文件: /workspace/BillServer/BillUser.cpp
位置: 行 416-428
代码:

bool BillUser::redeem_gold(const BillData *bd)
{
    // 【频率限制检查】5秒内最多兑换1次
    zTime currentTime;
    if (hasRedeemed && (currentTime.sec() - lastRedeemTime.sec()) < 5)
    {
        Zebra::logger->warn("[安全] 兑换频率过高拒绝(accid=%d,account=%s,last_redeem_sec=%ld,current_sec=%ld,ip=%s)",
                            id, account, lastRedeemTime.sec(), currentTime.sec(), getIp());

        // 返回失败响应
        Cmd::Bill::t_Redeem_Gold_Gateway send;
        strncpy(send.account, account, Cmd::UserServer::ID_MAX_LENGTH);
        send.accid = id;
        send.byReturn = Cmd::REDEEM_FAIL;
        send.dwGold = 0;
        send.dwBalance = 0;
        this->sendCmd(&send, sizeof(send));
        return false;
    }

    // 【流水号验证】防止重复提交
    if (!check_tid(bd->tid))
    {
        return false;
    }

    // ... 后续兑换逻辑
}

安全状态: ✅ 有效防护
防护效果: 防止短时间内频繁兑换攻击

2.4 UserServer 层（核心防护）

文件: /workspace/UserServer/UserHttpPub.cpp
位置: 行 333-391
完整代码:

bool UserHttpPub::consume_func(Cmd::UserServer::t_cmd_consume *ptConsume,
                               Cmd::UserServer::t_cmd_ret &ptRet)
{
    strncpy(ptRet.tid, ptConsume->tid, Cmd::UserServer::SEQ_MAX_LENGTH);

    DWORD balance = 0;
    DWORD bonus = 0;
    BYTE hadfilled = 0;
    FieldSet *fieldset = NULL;

    // 【检查1】用户存在性验证
    if (get_point(balance, ptConsume->uid, fieldset, bonus, hadfilled) != 0)
    {
        ptRet.ret = Cmd::UserServer::RET_ID_NOT_EXIST;
        return true;
    }

    // 【检查2】余额充足性检查（核心防护！）
    if (balance < ptConsume->point)
    {
        ptRet.ret = Cmd::UserServer::RET_BALANCE_NOT_ENOUGH;
        return true;
    }

    // 【检查3】溢出防护（防止负数溢出攻击）
    if ((SQWORD)balance - (SQWORD)ptConsume->point < 0)
    {
        tlogger->error("扣费溢出检测: uid=%u, balance=%u, point=%u, 拒绝扣费",
                      ptConsume->uid, balance, ptConsume->point);
        ptRet.ret = Cmd::UserServer::RET_BALANCE_NOT_ENOUGH;
        return true;
    }

    // 【检查4】异常余额修正（检测数据库溢出）
    if (balance > 4000000000)
    {
        tlogger->warn("扣费前检测到balance溢出=%u, 重新从数据库读取", balance);
        if (get_point(balance, ptConsume->uid, fieldset, bonus, hadfilled) != 0)
        {
            ptRet.ret = Cmd::UserServer::RET_ID_NOT_EXIST;
            return true;
        }
        tlogger->info("扣费前修正balance: uid=%u, balance=%u", ptConsume->uid, balance);
    }

    // 【检查5】数据库更新验证
    if (!update_point(ptConsume->uid, NULL, -((SQWORD)ptConsume->point), 0))
    {
        ptRet.ret = Cmd::UserServer::RET_FAIL;
        return true;
    }

    // 记录消费日志
    char account_buf[64] = {0};
    get_account_str(ptConsume->uid, account_buf, sizeof(account_buf));
    insert_consumelog(ptConsume->tid, ptConsume->uid, account_buf,
                      Cmd::UserServer::AT_CONSUME, ptConsume->source, "",
                      0, ptConsume->point, balance - ptConsume->point,
                      ptConsume->remark);

    ptRet.ret = Cmd::UserServer::RET_OK;
    ptRet.balance = balance - ptConsume->point;
    ptRet.bonus = bonus;
    ptRet.hadfilled = hadfilled;

    return true;
}

安全状态: ✅ 多层防护，核心验证
检查说明:

用户存在性验证: 从数据库查询用户余额，用户不存在则拒绝
余额充足性检查: balance < ptConsume->point - 这是最核心的防护
溢出防护: 使用 SQWORD 防止整数下溢
异常余额修正: 检测 >40亿的异常值并重新查询
数据库更新验证: 确保数据库更新成功

2.5 MySQL 数据库层防护

文件: /workspace/UserServer/UserHttpPub.cpp
位置: 行 650-795
数据库结构:

CREATE TABLE POINTBONUS0000 (
    uid       INT(10) UNSIGNED NOT NULL,  -- 账号ID
    account   CHAR(48),                   -- 账号名
    point     INT(10) UNSIGNED,           -- 点数余额（非负数）
    bonus     INT(10) UNSIGNED,           -- 奖励点数
    hadfilled TINYINT(4),                 -- 是否充值
    PRIMARY KEY (uid)
);

更新语句:

// 扣费操作
snprintf(sql, sizeof(sql), "UPDATE `%s` SET point=point-%u,bonus=bonus+%u,hadfilled=1 WHERE uid=%u",
        tablename, (DWORD)(-point), (DWORD)bonus, uid);

安全特性:

MySQL INT UNSIGNED 字段自动约束为非负数
如果 point - 扣费值 结果为负数，MySQL 会报错或保持不变
数据库层面的最后一道防线

三、封包篡改攻击模拟测试

测试场景1：点数超过余额

攻击条件:

用户真实余额: 1000 点
篡改封包点数: 1,000,000,000 (10亿)

执行流程:

1. Client 发送: point=1000000000
2. GatewayServer: 无检查，转发
3. BillServer: 记录异常日志，转发
4. UserServer:
   - get_point() 查询 → balance=1000
   - 【检查2】balance < point → 1000 < 1000000000 → TRUE
   - 返回 RET_BALANCE_NOT_ENOUGH
5. BillServer:
   - bd->result != RET_OK
   - redeem_gold() 返回 REDEEM_FAIL
6. Client: 收到兑换失败

攻击结果: ✅ 攻击失败

测试场景2：整数溢出攻击

攻击条件:

用户真实余额: 1000 点
篡改封包点数: 4,294,967,295 (0xFFFFFFFF, DWORD最大值)

执行流程:

1. Client 发送: point=4294967295
2. GatewayServer: 无检查，转发
3. BillServer: 记录异常日志(>20亿)，转发
4. UserServer:
   - get_point() 查询 → balance=1000
   - 【检查2】balance < point → 1000 < 4294967295 → TRUE
   - 或者
   - 【检查3】(SQWORD)1000 - (SQWORD)4294967295 = -4294966295 < 0
   - 返回 RET_BALANCE_NOT_ENOUGH
5. BillServer: 返回 REDEEM_FAIL
6. Client: 收到兑换失败

攻击结果: ✅ 攻击失败

测试场景3：小范围内篡改

攻击条件:

用户真实余额: 1000 点
篡改封包点数: 1005 点

执行流程:

1. Client 发送: point=1005
2. GatewayServer: 无检查，转发
3. BillServer: 无异常日志，转发
4. UserServer:
   - get_point() 查询 → balance=1000
   - 【检查2】balance < point → 1000 < 1005 → TRUE
   - 返回 RET_BALANCE_NOT_ENOUGH
5. BillServer: 返回 REDEEM_FAIL
6. Client: 收到兑换失败

攻击结果: ✅ 攻击失败

四、安全机制汇总表

安全层级	检查项	代码位置	状态	防护效果	关键性
GatewayServer	20亿硬编码检查	GatewayTask.cpp:1769	❌ 已移除	不影响	低
BillServer	异常日志记录(>20亿)	BillTask.cpp:295	⚠️ 仅记录	被动审计	低
BillServer	频率限制(5秒)	BillUser.cpp:416	✅ 有效	防刷兑换	中
BillServer	流水号验证	BillUser.cpp:430	✅ 有效	防重复提交	中
UserServer	用户存在性	UserHttpPub.cpp:343	✅ 有效	uid验证	中
UserServer	余额充足性	UserHttpPub.cpp:349	✅ 核心防护	balance>=point	高
UserServer	溢出检查	UserHttpPub.cpp:355	✅ 有效	SQWORD负数检测	高
UserServer	异常余额修正	UserHttpPub.cpp:362	✅ 有效	检测>40亿	中
UserServer	数据库更新验证	UserHttpPub.cpp:371	✅ 有效	确保更新成功	中
MySQL	UNSIGNED INT 字段约束	数据库层	✅ 有效	非负数约束	低

五、核心防护机制分析

5.1 余额充足性检查（最核心）

if (balance < ptConsume->point)
{
    ptRet.ret = Cmd::UserServer::RET_BALANCE_NOT_ENOUGH;
    return true;
}

为什么这是最核心的防护？

直接对比真实余额: balance 是从数据库实时查询的真实值
无法绕过: 任何封包篡改都会被这个检查拦截
简单可靠: 无需复杂逻辑，直接数值比较

5.2 溢出检查（补充防护）

if ((SQWORD)balance - (SQWORD)ptConsume->point < 0)
{
    tlogger->error("扣费溢出检测: uid=%u, balance=%u, point=%u, 拒绝扣费",
                  ptConsume->uid, balance, ptConsume->point);
    ptRet.ret = Cmd::UserServer::RET_BALANCE_NOT_ENOUGH;
    return true;
}

作用: 防止通过整数下溢绕过余额检查（理论上已被余额检查覆盖，但作为双重保险）

六、结论与建议

6.1 核心结论

✅ 移除 GatewayServer 层的 20亿硬编码检查后，封包篡改无法成功兑换点数。

原因:

✅ UserServer 的 balance < ptConsume->point 检查是最核心的防护，任何封包篡改都会被拦截
✅ 溢出检查防止通过负数溢出绕过验证
✅ 频率限制和流水号验证作为额外的防护层
✅ MySQL UNSIGNED INT 字段提供了最后一道防线

6.2 安全机制依赖关系

核心防护: UserServer 余额充足性检查
   └─> 任何封包篡改都会被这个检查拦截

补充防护: UserServer 溢出检查、异常余额修正
   └─> 提供额外的安全保障

辅助防护: BillServer 频率限制、流水号验证
   └─> 防止刷兑换、重复提交

底层防护: MySQL UNSIGNED INT 字段约束
   └─> 数据库层面的最后一道防线

被动审计: BillServer 异常日志记录
   └─> 用于安全审计和攻击检测

6.3 建议

建议1: 移除 GatewayServer 的 20亿硬编码检查

理由:

UserServer 的余额验证已经提供充分保护
20亿硬编码值限制了数据库支持的上限（42亿）
避免维护不一致的安全阈值

建议2: 保留 BillServer 的异常日志记录

理由:

超过20亿的请求可能是异常行为，需要审计
可用于安全分析和攻击溯源

建议3: 确保 UserServer 的所有安全检查完整执行

必须确保的检查:

✅ 余额充足性检查 (balance < ptConsume->point)
✅ 溢出检查 ((SQWORD)balance - (SQWORD)ptConsume->point < 0)
✅ 异常余额修正 (balance > 4000000000)

建议4: 定期审查兑换日志

审查要点:

超过20亿的兑换请求（可能的安全威胁）
频率兑换行为（可能的使用外挂）
失败的兑换请求（分析失败原因）

七、附录：关键代码位置索引

功能模块	文件路径	行号	说明
GatewayServer 兑换入口	GatewayServer/GatewayTask.cpp	1761-1789	接收客户端兑换请求
BillServer 兑换处理	BillServer/BillTask.cpp	287-328	处理兑换请求
BillServer 异常日志	BillServer/BillTask.cpp	293-296	记录异常点数
BillUser 频率限制	BillServer/BillUser.cpp	416-428	5秒兑换限制
BillUser 流水号验证	BillServer/BillUser.cpp	430-433	防重复提交
UserServer 核心检查	UserServer/UserHttpPub.cpp	333-391	多重安全验证
UserServer 查询余额	UserServer/UserHttpPub.cpp	254-328	get_point函数
UserServer 更新余额	UserServer/UserHttpPub.cpp	650-795	update_point函数
数据库表结构	-	-	POINTBONUS0000表

报告编写: AI助手审核: ✅已审核 Zebra项目安全组

一、兑换流程架构​

二、各层级安全防护机制详细说明​

2.1 GatewayServer 层​

2.2 BillServer 层​

2.3 BillUser 频率限制​

2.4 UserServer 层（核心防护）​

2.5 MySQL 数据库层防护​

三、封包篡改攻击模拟测试​

测试场景1：点数超过余额​

测试场景2：整数溢出攻击​

测试场景3：小范围内篡改​

四、安全机制汇总表​

五、核心防护机制分析​

5.1 余额充足性检查（最核心）​

5.2 溢出检查（补充防护）​

六、结论与建议​

6.1 核心结论​

6.2 安全机制依赖关系​

6.3 建议​

建议1: 移除 GatewayServer 的 20亿硬编码检查​

建议2: 保留 BillServer 的异常日志记录​

建议3: 确保 UserServer 的所有安全检查完整执行​

建议4: 定期审查兑换日志​

七、附录：关键代码位置索引​

一、兑换流程架构

二、各层级安全防护机制详细说明

2.1 GatewayServer 层

2.2 BillServer 层

2.3 BillUser 频率限制

2.4 UserServer 层（核心防护）

2.5 MySQL 数据库层防护

三、封包篡改攻击模拟测试

测试场景1：点数超过余额

测试场景2：整数溢出攻击

测试场景3：小范围内篡改

四、安全机制汇总表

五、核心防护机制分析

5.1 余额充足性检查（最核心）

5.2 溢出检查（补充防护）

六、结论与建议

6.1 核心结论

6.2 安全机制依赖关系

6.3 建议

建议1: 移除 GatewayServer 的 20亿硬编码检查

建议2: 保留 BillServer 的异常日志记录

建议3: 确保 UserServer 的所有安全检查完整执行

建议4: 定期审查兑换日志

七、附录：关键代码位置索引