socket.id是否长期唯一、需保密？基于其存储游戏排行榜是否安全？

1. 方案安全性与ID重分配问题 #

• 该方案存在先天性逻辑缺陷，并不安全。Socket.ID是Socket.IO等长连接框架为当前活跃连接分配的临时唯一标识，只要玩家断网、切后台、刷新页面导致连接断开，这个ID就会立即被服务端回收，后续新的玩家连接建立时，完全有可能被分配到这个回收后的ID，会出现排行榜归属错误、他人覆盖原有玩家得分的问题。
• 哪怕玩家全程不中断连接，GameJam期间玩家上下线频率很高，ID重分配的概率会进一步提升，完全不适合作为持久化的用户唯一标识使用。

2. Socket.ID的保密性与公开风险 #

• Socket.ID属于敏感的会话标识，绝对不能公开下发给所有客户端。
• 绝大多数游戏服务端的默认逻辑会通过Socket.ID来识别请求对应的玩家身份，如果你将其公开在排行榜中，恶意玩家可以直接抓取这些ID，伪造对应玩家的得分提交、操作请求，轻松篡改他人数据、干扰正常玩家的游戏流程，风险极高。

GameJam场景快速替代方案 #

如果想要极简实现排行榜，你可以用下面的低成本方案，开发量和你原有方案基本一致：

• 玩家进入游戏时随机生成一个16位的不可预测UUID作为用户唯一标识，存在玩家本地localStorage里
• 服务端用这个UUID作为Key存储用户得分，同时让玩家自定义一个显示用的昵称（可加3位随机数字后缀避免重名）
• 排行榜只返回昵称和得分两个字段，完全不暴露任何内部标识
• 玩家提交得分时带上本地存的UUID做身份校验即可

内容的提问来源于stack exchange，提问作者Gábor Héja