充值页面弹出来的传奇瞬间，我盯着那个“单职业专属礼包”的单职按钮，手指悬在鼠标上没点下去。业充不是值点因为价格——98块，跟平时没什么两样。漏洞而是传奇我注意到一个细节：支付成功后的回调地址，那个URL末尾的单职sign参数，居然是业充用明文拼接的。

玩传奇单职业三年了，值点从贪玩蓝月一路换到各种私服，漏洞见过太多充值系统。传奇多数时候，单职GM把代码写得很糙，业充但糙到这种程度的值点，头一回见。漏洞sign = MD5(roleid + amount + orderid + key)，key就硬编码在JS文件里。我按F12打开控制台，顺着network面板找到那个请求，不到十分钟就复现了整个签名逻辑。

更离谱的是，服务器根本没校验金额是否跟商品一致。我改掉amount字段，从98改成0.01，sign重新算一遍，照样返回成功。游戏里哗啦一声，元宝到账，跟正常充值一模一样。我愣了几秒，然后笑出声。

这游戏刚开服三天，广告打得铺天盖地，说什么“亿元补贴”“上线送VIP15”。新区人挤人，沙巴克城门口全是顶着“充值榜第一”称号的氪金战士。我这一笔0.01元的“充值”，直接把自己送进了全服战力前十。

第二天我试着充第二笔，发现漏洞还在。第三天，GM终于发现了，紧急维护。但你知道最讽刺的是什么吗？他们修复的方式，不是加金额校验，也不是换掉明文密钥，而是把充值入口从网页端挪到了游戏内置SDK里——好像玩家就不会抓包一样。

这事儿让我想起去年某款传奇页游，充值返利活动写得明明白白：“单笔充值满1000元返50%”。有人发现，只要分十次每次充100元，系统判定成十笔独立充值，每笔都触发返利。结果那哥们儿用1000块刷出了1500块的元宝，还外加十次抽奖机会。GM查了半天，最后只能封了他三天号，因为规则里没写“同一角色连续充值视为单笔”。

漏洞从来不在代码里，漏洞在人的预期里。GM觉得没人会去改请求参数，就像他们觉得玩家只会乖乖点充值按钮一样。可玩传奇的人，哪个不是从外挂年代活过来的？十年前我们改内存找基址，五年前我们抓包改封包，现在不过是按F12看看network面板，难度反而降了。

我没再继续刷。倒不是良心发现，而是那个服第三天就凉了——漏洞被更多人知道后，满屏都是0.01元充值刷出来的顶级装备，物价崩盘，土豪们骂骂咧咧地退了服。新区开了又凉，凉了又开，循环往复。GM大概永远想不明白，为什么每次开服撑不过一个月。

其实答案很简单。你把玩家当韭菜，玩家就把你当漏洞。你省了写安全代码的功夫，玩家就省了充值的钱。这买卖，谁也不亏，就是游戏死了而已。

(责任编辑：知识)