内容摘要：腾讯那套在线人数统计，一直有人觉得它能“注水”。不是瞎猜，是接口本身留了太多口子。 去年有个做数据抓取的朋友给我看了一段代码。他盯着某个手游的“当前在线”数字，发现只要构造特定的心跳包，服务器就会把同

腾讯那套在线人数统计，腾讯一直有人觉得它能“注水”。线人不是数统瞎猜，是计漏接口本身留了太多口子。

去年有个做数据抓取的腾讯朋友给我看了一段代码。他盯着某个手游的线人“当前在线”数字，发现只要构造特定的数统心跳包，服务器就会把同一个设备识别成多个独立用户。计漏一台手机，腾讯改几个参数，线人就能在后台变成几十个“活人”。数统他当时没敢往大了跑，计漏只开了个模拟器集群，腾讯两百个实例，线人结果那个区的数统在线数直接涨了快三成。

腾讯的在线统计逻辑，核心是长连接心跳加去重。问题出在去重环节。早期很多业务用的是设备指纹加IP的组合，设备指纹可以伪造，IP可以换。更麻烦的是，有些入口走的是客户端上报的在线状态，服务端只做简单校验。你只要把上报间隔压到阈值以下，服务端就认为你一直“活跃”。

这不是什么高深漏洞，更像是一种设计上的偷懒。为了扛住海量并发，腾讯把很多统计做成了近似值。近似值意味着允许误差，误差在正常场景下无所谓，可一旦有人刻意利用，数字就失真了。2019年某款新游上线，公测当天官方宣布“同时在线突破两千万”。后来有第三方团队用抓包工具跑了一遍，发现其中至少四百万来自同一批被复用的长连接会话。这些会话没有真实用户行为，只是挂着。

腾讯不是没修过。2021年之后，部分业务改成了“行为验证”——你得有移动、点击、技能释放这些操作，才算有效在线。但道高一尺，脚本可以模拟操作。我在一个游戏工作室见过他们的“养号”系统，每个模拟器里跑着自动脚本，定时走两步、放个技能，在线时长和活跃度全都能刷。他们对外报价是“一万在线/天，三百块”。

真正有意思的是腾讯的态度。内部其实知道这个数字有水分，但KPI需要它。一款游戏的在线人数直接影响渠道推荐、广告报价、股价预期。你把它修得太干净，数字掉一大截，谁负责？所以漏洞一直在，只是被控制在一个“可接受”的范围内。偶尔封一批异常IP，做做样子，核心逻辑不动。

普通用户看到的“好友在线”，跟后台统计的“在线”是两码事。前者是社交关系链的状态，后者是商业指标。你看到好友在玩某款游戏，可能只是他昨天登录过，客户端缓存没清。真正的实时在线，腾讯自己都未必能算准——它只能算个大概，然后把这个大概包装成精确数字卖出去。

写这些不是要证明腾讯技术不行。恰恰相反，它的分布式架构能扛住十亿级长连接，已经很厉害。但厉害不等于诚实。在线人数这个数字，从它被用来融资、用来发新闻稿的那天起，就不再是技术问题，而是生意问题。漏洞只是生意的一部分。

下次你再看到“同时在线破亿”的弹窗，可以笑一笑。那个数字里，有你的一个心跳包，也有无数个不存在的“你”。