Posted on 2011-01-19 14:47
點(diǎn)點(diǎn)滴滴 閱讀(1016)
評論(0) 編輯 收藏 引用 所屬分類:
10 服務(wù)器
正如我們在前面曾討論過的，登錄服要實(shí)現(xiàn)的功能相當(dāng)簡單，就是帳號驗(yàn)證。為了便于描述，我們暫不引入那些討論過的優(yōu)化手段，先以最簡單的方式實(shí)現(xiàn)，另外也將基本以mangos的代碼作為參考來進(jìn)行描述。
想象一下帳號驗(yàn)證的實(shí)現(xiàn)方法，最容易的那就是把用戶輸入的明文用帳號和密碼直接發(fā)給登錄服務(wù)器，服務(wù)器根據(jù)帳號從數(shù)據(jù)庫中取出密碼，與用戶輸入的密碼相比較。
這個(gè)方法存在的安全隱患實(shí)在太大，明文的密碼傳輸太容易被截獲了。那我們試著在傳輸之前先加一下密，為了服務(wù)器能進(jìn)行密碼比較，我們應(yīng)該采用一個(gè)可逆的加密算法，在服務(wù)器端把這個(gè)加密后的字串還原為原始的明文密碼，然后與數(shù)據(jù)庫密碼進(jìn)行比較。既然是一個(gè)可逆的過程，那外掛制作者總有辦法知道我們的加密過程，所以，這個(gè)方法仍不夠安全。
哦，如果我們只是希望密碼不可能被還原出來，那還不容易嗎，使用一個(gè)不可逆的散列算法就行了。用戶在登錄時(shí)發(fā)送給服務(wù)器的是明文的帳號和經(jīng)散列后的不可逆密碼串，服務(wù)器取出密碼后也用同樣的算法進(jìn)行散列后再進(jìn)行比較。比如，我們就用使用最廣泛的md5算法吧。噢，不要管那個(gè)王小云的什么論文，如果我真有那么好的運(yùn)氣，早中500w了，還用在這考慮該死的服務(wù)器設(shè)計(jì)嗎？
似乎是一個(gè)很完美的方案，外掛制作者再也偷不到我們的密碼了。慢著，外掛偷密碼的目的是什么？是為了能用我們的帳號進(jìn)游戲！如果我們總是用一種固定的算法來對密碼做散列，那外掛只需要記住這個(gè)散列后的字串就行了，用這個(gè)做密碼就可以成功登錄。
嗯，這個(gè)問題好解決，我們不要用固定的算法進(jìn)行散列就是了。只是，問題在于服務(wù)器與客戶端采用的散列算法得出的字串必須是相同的，或者是可驗(yàn)證其是否匹配的。很幸運(yùn)的是，偉大的數(shù)學(xué)字們早就為我們準(zhǔn)備好了很多優(yōu)秀的這類算法，而且經(jīng)理論和實(shí)踐都證明他們也確實(shí)是足夠安全的。
這其中之一是一個(gè)叫做SRP的算法，全稱叫做Secure Remote Password，即安全遠(yuǎn)程密碼。wow使用的是第6版，也就是SRP6算法。有關(guān)其中的數(shù)學(xué)證明，如果有人能向我解釋清楚，并能讓我真正弄明白的話，我將非常感激。不過其代碼實(shí)現(xiàn)步驟倒是并不復(fù)雜，mangos中的代碼也還算清晰，我們也不再贅述。
登錄服除了帳號驗(yàn)證外還得提供另一項(xiàng)功能，就是在玩家的帳號驗(yàn)證成功后返回給他一個(gè)服務(wù)器列表讓他去選擇。這個(gè)列表的狀態(tài)要定時(shí)刷新，可能有新的游戲世界開放了，也可能有些游戲世界非常不幸地停止運(yùn)轉(zhuǎn)了，這些狀態(tài)的變化都要盡可能及時(shí)地讓玩家知道。不管發(fā)生了什么事，用戶都有權(quán)利知道，特別是對于付過費(fèi)的用戶來說，我們不該藏著掖著，不是嗎？
這個(gè)游戲世界列表的功能將由大區(qū)服來提供，具體的結(jié)構(gòu)我們在之前也描述過，這里暫不做討論。登錄服將從大區(qū)服上獲取到的游戲世界列表發(fā)給已驗(yàn)證通過的客戶端即可。好了，登錄服要實(shí)現(xiàn)的功能就這些，很簡單，是吧。
確實(shí)是太簡單了，不過簡單的結(jié)構(gòu)正好更適合我們來看一看游戲服務(wù)器內(nèi)部的模塊結(jié)構(gòu)，以及一些服務(wù)器共有組件的實(shí)現(xiàn)方法。這就留作下一篇吧。