去年冬天我在一个Flash小游戏站上闲逛，找网点开某款“钓鱼达人”玩了两把。页游分数结算时我随手改了改URL里的戏漏参数——把score=1200改成score=999999，刷新页面，找网排行榜第一就换人了。页游这不是戏漏什么高深技术，就是找网最原始的“参数篡改”。网页游戏的页游漏洞，八成以上都藏在这种看似幼稚的戏漏地方。

先搞明白一件事：网页游戏跑在浏览器里，找网所有代码都下载到了你的页游机器上。按F12打开开发者工具，戏漏Sources标签页里躺着完整的找网JavaScript文件。有些游戏会把核心逻辑混淆压缩，页游变量名变成a、戏漏b、c，但逻辑本身骗不了人。我见过一个卡牌游戏，抽卡概率直接写在客户端：if(Math.random()<0.05){ 获得SSR}。你甚至不用改代码，在Console里敲Math.random=()=>0.01，每次抽卡都触发SSR。服务端如果没做二次校验，这招百试百灵。

网络请求才是真正的金矿。切到Network面板，玩一局游戏，观察每个XHR/fetch请求。很多游戏会把“购买道具”“提交分数”“领取奖励”这类操作做成独立的API调用。你不需要逆向工程，直接看请求体——{ "itemId":3,"price":100}，把price改成0或者负数，重放请求。去年有个放置类游戏，我用Burp Suite拦截“升级建筑”的请求，把消耗资源的数值改成-9999，结果资源没扣反而暴涨。服务端只检查了“资源是否足够”，没检查“消耗值是否为正数”。

客户端验证永远不可信。有个网页版“打地鼠”游戏，每击中一次地鼠发一个请求/hit?score=10。我写了个循环，每秒发一千次请求。半小时后排行榜前一百名全是我的小号。更离谱的是某款“答题闯关”游戏，正确答案直接硬编码在JS里：answers=["A","C","B","D"]。你甚至不用答题，按顺序提交就行。开发者可能觉得“没人会看源码”，但浏览器里没有秘密。

逻辑漏洞比技术漏洞更常见。比如“每日签到”功能，客户端记录lastSignDate，服务端只验证“今天是否签过”。你把系统时间调到明天，再点签到，又能领一份奖励。或者“邀请好友”活动，邀请链接里的inviterId参数没做绑定校验，你把自己的ID填进去，自己邀请自己，刷出一堆奖励。这类漏洞不需要任何编程知识，纯粹是业务流程设计时漏掉了边界情况。

别碰真实资金和他人数据。我见过有人用漏洞刷游戏币，然后挂在第三方平台卖，最后被游戏公司起诉“非法获取计算机信息系统数据”。测试可以，但别越过那条线。自己搭个本地环境，或者找那些明确允许安全测试的众测平台。网页游戏漏洞大多不复杂，难的是克制住“顺便捞一笔”的冲动。

最后说个观察：越老的网页游戏，漏洞越多。那些用PHP+MySQL写的、十年没更新的小游戏站，往往连基本的参数过滤都没做。你打开F12，就像走进一间没锁门的仓库。但别得意——有些站是蜜罐，专门记录你的IP和操作。玩之前先看看域名，别在网吧电脑上乱试。

(责任编辑：娱乐)