FiveM Lua开发：触发服务器事件时能否伪造自身source标识

在这类采用Lua作为事件脚本语言的客户端-服务端框架中，引擎层绑定的原生source标识是无法通过客户端传参直接伪造的。该值不属于事件入参，是服务端在收到客户端网络请求时，基于当前TCP长连接绑定的真实玩家会话，自动填充的内置全局变量，从协议层就和发起连接的客户端一一对应。

• 你编写的TriggerServerEvent("XD", source = '200')，本质是想给XD事件额外传递一个标识为source的自定义值，但首先原生Lua本身并不支持事件调用时的命名参数语法，这种写法在实际运行时本身就会触发语法错误，根本无法正常执行传参
• 就算你修正语法，按顺序传参把'200'传过去，这个值也只是普通的事件入参，完全不会改动服务端引擎内置的、用来标记请求发起者的全局source值
• 你提供的服务端事件回调没有定义任何形参来接收传入的参数，哪怕客户端传了值，也会在事件触发时被直接丢弃，最终print(source)打印的依然是引擎自动填充的、对应真实网络连接的玩家ID
• 就算你给回调加了形参接收这个传入值，拿到的'200'也只是客户端自定义的普通入参，和引擎层的source没有任何绑定关系，更不会替换系统层面识别的请求来源标识

• 不要把客户端传参和引擎原生source的概念混为一谈：很多被利用的“伪造source”漏洞，本质是服务端开发者的逻辑问题——比如开发者错把客户端传进来的自定义ID当成可信来源做权限校验，这种写法本身有安全缺陷，不代表客户端真的能修改引擎层的source值
• 原生source的分配逻辑由服务端完全掌控：每个客户端和服务端建立连接时，服务端会分配唯一的会话ID，所有从该连接发出的事件，引擎都会自动在回调作用域内把source赋值为这个会话ID，客户端没有权限通过脚本覆盖这个内置值

服务端处理这类事件时，必须无条件信任引擎自动填充的source，不要用客户端传入的参数做来源校验，参考正确写法：

RegisterServerEvent('XD')
AddEventHandler('XD', function(customArg)
    -- source为引擎自动填充的真实发起者，可直接信任
    print('真实来源玩家ID：', source)
    -- 客户端传入的customArg属于不可信内容，必须做合法性校验后才能使用
    print('客户端传入的普通参数：', customArg)
end)

不管客户端在TriggerServerEvent里传什么内容，服务端拿到的source永远是真实连接对应的ID，不存在通过普通传参直接伪造的可能。

内容的提问来源于stack exchange，提问作者Birk