寻求React Native金钱游戏安全防护措施优化建议

核心方案：依赖服务器端校验与存储 #

本地存储任何数据都存在被篡改的风险，最可靠的方式是把关键业务数据放在后端服务器：

• 将score、increment以及最后一次累加的时间戳全部存储在服务器，客户端仅负责展示和发起更新请求
• 客户端启动时，从服务器拉取当前的完整数据（score、increment、最后更新时间）
• 每3秒向服务器请求更新：服务器根据当前时间与最后更新时间的差值，计算应累加的次数（如间隔9秒则累加3次），更新score后返回给客户端
• 客户端完全信任服务器返回的数值，本地仅做临时缓存用于实时展示，不做持久化存储
  这种方式下，本地篡改的数据毫无意义，重启App或重新请求后会自动同步为服务器的正确数值。

本地存储防护（若必须本地持久化） #

如果因离线需求必须在本地存储数据，需对数据进行加密与校验：

• 使用React Native加密库（如react-native-aes-crypto）对score、increment等数据进行AES加密后，再存入AsyncStorage
• 加密密钥不要硬编码在代码中：可通过服务器动态下发，或结合设备唯一标识（需注意隐私合规）生成动态密钥
• 存储时额外生成数据的SHA256哈希值，与加密数据一同保存。读取时先校验哈希值，若不一致则判定数据被篡改，直接重置本地数据或请求服务器同步

Root/越狱设备检测 #

针对Root安卓设备或越狱iOS设备，进行检测并限制功能：

• 使用react-native-root-detection这类库，在App启动时检测设备状态
• 检测到Root/越狱后，可采取两种策略：一是提示用户设备不符合要求，无法继续游戏；二是强制禁用离线模式，所有操作必须通过服务器校验
• 注意：此类检测无法100%避免被绕过，但能拦截绝大多数普通破解者

代码混淆与反调试 #

防止攻击者通过反编译代码找到漏洞：

• Android端开启R8混淆，iOS端启用Obfuscator-LLVM混淆，对核心业务逻辑代码进行混淆
• 添加反调试机制：Android检测是否有调试器连接，iOS检测是否被附加调试，一旦触发则终止App或打乱计算逻辑
• 核心计算逻辑不要完全放在客户端，比如累加规则的关键参数由服务器动态控制，避免客户端逻辑被逆向破解

本地计算的辅助校验 #

若客户端需要临时计算score，需加入校验逻辑：

• 本地额外存储最后一次累加的时间戳，每次计算新score时，先验证时间差是否合理（如时间不能超前当前时间，且两次累加间隔不小于3秒）
• 每次计算后，生成一个校验值（比如score + increment + 时间戳的哈希），与数据一同存储。读取时先校验该值，不一致则放弃本地数据，请求服务器同步

内容的提问来源于stack exchange，提问作者FreeLancer