一款手游用游戏币购买东西被重复提交只扣一次钱.

[xifangczy]

一款手游用游戏币去抽卡，抽一次得到数据然后用工具不断并发的重复提交，你会只扣一次游戏币但是会得到很多卡牌。

我对这个非常好奇，到底是什么原因呢？我用http抓包看了提交的地址是php的。那如果解决会有什么样的解决办法？

我个人猜想这是数据库的问题，对游戏币的update操作被堵塞了。

[jones]

扣币和得卡没有在一个事务上下文

[Laforet]

也可能根本就没有验证，开环系统

[imlonghao]

http://drops.wooyun.org/papers/831

[reeco]

想起了很早以前sp游戏发短信也是这样的，而且到达一定次数之后道具就不再扣费了

[zhicheng]

锁表

[acros]

好多收费sdk做得是奇烂无比的，不知道从哪里开始吐槽好

[popu111]

何工具？（关注的点似乎有点歪啊）

[mengzhuo]

哎～
我司要是做这种接口，绝对先扣东西了再加卡～

[beneo]

提交form的时候，没有加上CSRF Token呗

[lianyue]

重放攻击 而已很常见 嗯 购买先生成 订单号就好了 然后 购买成功了 更新订单号 就好了 if ( update success=true ) == 1 就能防止了

[future0906]

初级错误，尤其是大部分倾向单机的手游，服务端只是随便搞；另外，通过短信走SP通道扣费的，丢单率都相当高

[gamexg]

稍微和 /t/202908 有些区别，扣费和增加道具分成两个部分了，而且获得道具部分也没做验证。

[realpg]

就跟提交后只要你不刷新验证码URL，验证码不失效一个性质……
就是逻辑做的严密性太差……

[xifangczy]

@popu111 http抓包的软件都可以把 再怎么自己写个

[xifangczy]

我记得淘宝双11时候也有出现过商品超卖的情况.. 购买的数量超过了设置的库存。

[popu111]

@xifangczy 那我慢慢折腾去。。。

[goodluckyang]

没做去重校验吧。。

[akira]

服务器逻辑没写严密。

早期的端游才是各种奇葩bug都有啊。。