roblox-creator-store-security-audit

Roblox Creator Store 安全审计

目标

在检查之前，将所有第三方 Creator Store 或 Toolbox 导入内容视为不可信。Roblox 文档指出，第三方资源存在安全风险，因为其中可能包含恶意脚本或后门；Creator Store 资源也可能包含脚本。在启用、发布或基于导入内容构建之前，先进行审计。

来源基准

当当前政策或平台行为会影响判断时，请先查阅 Roblox 官方文档：

• https://create.roblox.com/docs/scripting/security/third-party-vulnerabilities
• https://create.roblox.com/docs/scripting/capabilities
• https://create.roblox.com/docs/production/creator-store

即使 Roblox 增加了平台保护措施，也要使用此审计工作流。平台安全措施可以降低风险，但不能代替阅读并理解导入的脚本。

导入规则

对于第三方模型／包／游戏玩法／UI 资源：

1. 将其插入隔离文件夹或独立位置。
2. 不要仅仅因为导入资源提示启用 HTTP 请求或其他安全敏感设置，就启用这些设置。
3. 除非游戏明确需要导入的脚本且脚本通过审核，否则请禁用或移除这些脚本。
4. 优先仅提取视觉内容：保留网格、部件、纹理、声音、粒子和 UI 美术资源；移除未知行为。
5. 记录资源名称、资源 ID、创建者／来源、插入路径和审计结果。

MCP 审计工作流

1. 使用 list_roblox_studios 确认 Studio 连接；必要时使用 set_active_studio，并使用 get_studio_state。
2. 使用 search_game_tree 查找导入的资源。
3. 使用 inspect_instance 检查导入资源的根对象。
4. 使用 script_grep 搜索可疑模式：
   • require
   • getfenv
   • setfenv
   • loadstring
   • HttpService
   • GetObjects
   • InsertService
   • MarketplaceService
   • DataStore
   • MessagingService
   • TeleportService
   • RemoteEvent
   • RemoteFunction
   • rbxassetid
   • asset
   • string.reverse
   • string.char
   • byte
   • spawn
   • coroutine
   • while true
5. 使用 script_search 和 script_read 检查每个导入的 Script、LocalScript 和 ModuleScript。
6. 检查后代对象中是否有隐藏在意外对象下的脚本、已禁用脚本、具有欺骗性的名称，或深层嵌套的容器。
7. 如果不需要这些脚本，请使用 multi_edit 或有针对性的 execute_luau 移除或禁用它们。
8. 在隔离环境中使用 start_stop_play 进行游玩测试，然后检查 get_console_output。

危险信号

将以下情况视为高风险：

• 经过混淆或异常复杂的代码。
• 通过资源 ID 获取或执行外部模块的代码。
• 提示启用 HttpService、粘贴命令栏代码或安装其他资源／插件。
• 未知的远程对象、管理面板、类似后门的命令或隐藏的 GUI。
• 名称类似 AntiLag、MainModule、Loader、Handler、Update、Version、HDAdmin、Free、Fix 的脚本，或名称与资源用途无关的脚本。
• 装饰性资源中包含 DataStore 写入、购买处理、传送、管理／管理员命令或玩家消息功能。
• 会重新设置自身的父对象、克隆自身、销毁审计可见对象，或在服务中传播的代码。

判定结果

返回以下结果之一：

• Safe to keep visual content only：已移除脚本或脚本并非必需。
• Safe with reviewed scripts：脚本简单、确有必要，且用途已有说明。
• Quarantine：可疑但尚不能确认恶意；不得发布。
• Reject/remove：包含恶意、混淆、类似后门或缺乏正当理由的敏感行为。

输出

报告以下内容：

• 资源名称、ID／来源、已知的创建者，以及插入路径。
• 脚本清单和可疑模式的发现情况。
• 已采取的操作：已禁用、已移除、已保留或未更改。
• 已检查的安全敏感设置。
• 最终判定结果和后续测试。

下一步

资源通过审查后，使用 roblox-asset-pipeline 导入，并使用 roblox-performance-optimization 检查其运行时成本。