安全

密钥#

• 客户端密钥仅用于识别项目；每个玩家端点还需要玩家自己的令牌。
• 私密密钥以 SHA-256 哈希形式存储，且只显示一次。可以在 API 密钥页面轮换任一密钥；轮换客户端密钥会使仍在使用旧密钥的构建失效。

玩家令牌#

• 访问令牌在一小时后过期，并通过轮换的刷新令牌自动刷新。
• 重复使用旧的刷新令牌会在所有设备上撤销该会话。

HTTPS#

• 除 localhost 外，API 会拒绝纯 HTTP 请求，并通过 HTTPS 发送 HSTS。

服务器权威#

• 分数、奖励和钱包均在服务器端校验，绝不信任客户端。
• 客户端能读取的任何内容都可能被查看。请使用私密密钥，将机密信息和权威逻辑放在你的服务器上。

签名配置#

• 远程配置使用 RSA-SHA256 签名，并在使用前于设备上验证，因此代理或被篡改的网络响应都无法更改你的配置值。

玩家数据#

• 你可以在控制台中查看和删除任何玩家；删除项目会移除其所有数据。日志中的 IP 地址以带密钥的哈希形式存储。