刷积分这事，检测Discuz 从诞生那天起就没消停过。论坛我见过最离谱的否存分漏一个论坛，三天之内冒出两百多个新用户，刷积全是检测凌晨两点到四点注册，回帖内容清一色是论坛“感谢楼主分享”，积分从零涨到五百。否存分漏管理员还在后台纳闷，刷积说最近人气真旺。检测旺什么旺，论坛那是否存分漏脚本在跑。

要查这类漏洞，刷积先得搞清楚 Discuz 积分机制里哪个口子最松。检测默认情况下，论坛发帖、否存分漏回帖、登录、上传附件都加积分。发帖加得多，但需要审核或者有字数限制。回帖加得少，可架不住量大。登录加积分最隐蔽，每天点一下就有，脚本挂机自动刷。很多站长老盯着发帖量看，忽略了登录积分这块，结果被人用 curl 循环请求签到接口，一天刷出几千分。

我自己的做法是先看用户积分增长曲线。后台数据库里找到 pre_common_member 表，把 credits 字段和 lastvisit 字段拉出来对比。正常用户积分是阶梯式上升，今天回几帖涨几十，明天不发帖就不动。异常账号是一条直线往上窜，或者每天固定时间涨固定分值，像闹钟一样准。有个论坛的漏洞就是回帖不加时间间隔限制，脚本每三秒发一帖，积分曲线跟心电图似的，笔直向上。

接着查回帖内容。Discuz 默认允许重复内容，但刷积分的人往往懒得改文案。你搜一下 pre_forum_post 表，按 message 字段分组计数，如果同一句话出现超过五十次，而且来自不同用户，基本可以确定是刷的。我见过一个案例，所有刷分回帖都是“谢谢分享”，连标点符号都一样。更懒的直接发“.”，一个句号占一层楼，积分照样到手。

还有一种漏洞在 Discuz 的“邀请注册”功能上。邀请一个人加多少积分，被邀请的人再邀请别人，邀请人还能拿提成。有人写个脚本批量注册小号，大号邀请小号，小号再邀请小小号，一层层往下刷。这种刷法积分涨得慢，但隐蔽性强。查的时候要看 pre_common_invite 表，如果某个用户的邀请码被大量使用，而且被邀请者的注册 IP 集中在几个段，那就是机器批量操作。

别忘了检查 Discuz 的“每日签到”插件。很多站长装完就不管了，插件里有个 sign 动作，请求一次加一次积分。有人用 Python 的 requests 库写个循环，一秒请求十次，一天刷出十万积分。查这个要看 pre_plugin_sign 表里的 sign_time 字段，正常用户一天一条记录，异常用户一天几百条，时间戳间隔精确到毫秒。

最后说个土办法。你随便挑几个积分异常高的用户，点进他们个人主页，看“回帖”那一栏。如果回帖列表全是“顶”“好”“支持”，而且发帖时间集中在凌晨，基本不用再查了。Discuz 后台有个“用户管理”里的“积分变更记录”，点进去看明细，正常用户积分来源多样，刷分的清一色来自同一个动作，比如全是“回帖积分”，其他项为零。这个特征太明显了，跟秃子头上的虱子一样。

查漏洞这事，别指望一劳永逸。Discuz 版本更新慢，插件质量参差不齐，今天堵住回帖刷分，明天可能冒出个“打招呼加积分”的漏洞。我的习惯是每周拉一次积分增长前五十名的用户，手动看几个，花不了十分钟，比装一堆防护插件管用。