roblox-security-economy

Roblox Security Economy

目標

プレイヤーのゲームプレイを公平に保ちながら、価値のあるゲーム状態を保護します。価値の付与、消費、交換、保存、購入に関わる処理はすべて、サーバーを信頼の基点として実行する必要があります。

高リスク領域

• ゲーム内通貨とプレミアム通貨。
• インベントリ、ペット、スキン、ツール、ブースト、クエスト報酬。
• 取引、贈与、クラフト、アップグレード、プレステージ、戦利品の抽選。
• 開発者製品のレシートとゲームパスの確認。
• デイリー報酬、連続ログイン報酬、イベント報酬、グループ報酬。
• 報酬の付与、ダメージ、テレポート、配置、進行を要求するクライアントリモート。

サーバー権限のルール

• 報酬はサーバーで計算します。
• プレイヤーが対象条件を満たしているか、サーバーで検証します。
• 正式な残高とインベントリはサーバーに保存します。
• クライアント UI は表示と意図の伝達にのみ使用します。
• 購入や価値のある付与には冪等性を持たせます。
• 形式不正、リプレイ、不可能、または頻度が高すぎるリモート要求は拒否します。

DataStore とレシートのパターン

• UI の状態ではなく、簡潔で正式な状態を保存します。
• バージョン管理されたデータスキーマと移行時のガードを使用します。
• アクティブなセッション中の保存は、キューに入れるかデバウンスします。
• プレイヤーの退出時とサーバーのシャットダウン時に保存処理を紐付けます。
• 開発者製品はレシート処理を通じて付与し、トランザクションの完了と見なす前に、処理済みの購入 ID を記録します。

取引と贈与

• サーバー管理の取引セッションを使用します。
• 取引の保留中は、提示されたアイテムをロックします。
• 両者に、最終的な提示内容そのものを確認させます。
• コミット直前に所有権を再検証します。
• 可能な場合は、サーバー状態からアトミックにコミットします。
• 後から調査できるよう、価値のある取引と付与経路を記録します。

MCP レビューワークフロー

1. script_grep を使って、リモート、通貨名、DataStore の使用箇所、レシートハンドラー、付与関数を検索します。
2. 価値を扱うすべてのスクリプトを script_read で読みます。
3. search_game_tree と inspect_instance で関連するインスタンスを調べます。
4. ソースからシンクまでのデータフローを把握してから、multi_edit で修正します。
5. start_stop_play と get_console_output を使って、購入なしで進行できる経路とコンソールエラーをプレイテストします。

出力

以下を報告します。

• 保護対象のアセットまたは価値。
• 信頼境界。
• サーバー側の検証ルール。
• 防止した不正利用ケース。
• 残るリスク、または手動での Roblox 購入テスト。

次のステップ

roblox-playtest-qa でプレイテスト中に保護対象のフローを検証し、roblox-datastore-persistence で保存経路が安全であることを確認します。