百宝阁的百宝定价逻辑有个致命漏洞：同一件物品，买十个和买一个，阁买单价竟然一样。物品

我第一次发现这事是漏洞在去年冬天。服务器刚开新服，百宝百宝阁上架了一批强化石，阁买单价标着50元宝。物品我本想买20个，漏洞手滑点成了2个，百宝结果扣了100元宝。阁买当时没在意，物品后来帮里有人收强化石，漏洞我才注意到——他一次性买50个，百宝也是阁买2500元宝，一个不多一个不少。物品

这就有意思了。正常游戏商城都会设阶梯价，买得多单价应该降。百宝阁偏不。更离谱的是，限量物品的购买数量居然可以手动输入。上周三凌晨，我蹲到一颗“玄天玉”，标价8000元宝，限购1件。我试着在数量框里敲了个“2”，系统没报错，直接扣了16000元宝，背包里躺着两颗。限购形同虚设。

我把这事截图发到帮会群。有人回：“你才发现？半年前我就靠这法子囤了三十多本高级技能书。”他说得轻描淡写，我却听得后背发凉。百宝阁的库存显示是实时的，但限购计数用的是一套独立逻辑。简单说，你买完第一件，系统标记“已购1件”，可只要你手速够快，在页面刷新前反复提交订单，每次都能绕过那个标记。

这漏洞不是代码写错了，是设计时压根没考虑并发请求。百宝阁的购买接口没有做事务锁，两个请求同时进来，都读到“库存1”，都判断“可购买”，然后都扣款发货。经典的双花问题，只不过发生在游戏商城。

我认识一个职业倒爷，专门靠这个吃饭。他电脑上开着按键精灵，每次百宝阁上新限量坐骑，他就用脚本以50毫秒间隔连点购买。官方限购1只，他能抢到7只。转手挂交易行，每只加价3000元宝，五分钟净赚两万一。他说这叫“薅系统羊毛”，还嘲笑那些老老实实等刷新的人：“你手速再快，快得过代码？”

但风险也真实存在。上个月，官方突然封了一批账号，理由写的是“利用非正常手段获取物品”。被封的人里，有倒爷，也有只是多买了几颗宝石的普通玩家。封号名单公布那天，帮会频道炸了锅。有人骂官方钓鱼执法，有人庆幸自己没贪心。那个倒爷倒是淡定，他说：“封了再练小号呗，反正漏洞还在。”

漏洞确实还在。我昨天又试了一次，百宝阁新上的烟花礼包，限购5件。我分三次提交，每次点2件，最后拿到了6件。系统没提示，邮件也没警告。多出来的那件烟花，我放仓库里没敢用。

说回本质。百宝阁这套购买系统，前端限购是个摆设，后端校验又没做幂等。玩家点得快一点，就能突破限制。官方要么是懒得修，要么是故意留着当促销手段——毕竟多卖出去的东西，元宝是真金白银充进来的。但普通玩家不知道这些，他们只看到“限购”两个字，然后乖乖等第二天刷新。

信息差就是利润。那个倒爷跟我说过一句话：“游戏里最赚钱的从来不是打怪，是研究规则。”百宝阁的规则，写在代码里，而代码，有时候比说明书诚实得多。