扑克客户端可复现构建：为什么只有开源还不够

开源对在线扑克很重要，因为玩家可以检查客户端怎样验证发牌、签名操作、保存牌局记录。但开源本身还少回答一个关键问题：你看到的公开源码，真的是浏览器里正在运行的那份代码吗？

这就是可复现构建的价值。Reproducible Builds 项目把它解释为一组做法，用来建立从源码到最终程序的、可独立验证的路径。放到扑克里，它的意思很简单：公开的客户端规则，要能和玩家实际收到的客户端文件对上。

源码和线上客户端之间的空档

一个扑克网站可以公开源码，但仍然因为失误或设计问题上线另一份客户端。公开仓库里写的是一套逻辑，线上压缩后的网页包里可能是另一套逻辑。普通玩家很难看出差别，因为现代网页应用会经过打包、压缩和自动部署。

对普通网站来说，这主要是软件安全问题。对扑克客户端来说，它还会变成公平问题。客户端可能负责显示验证结果、解释牌局 transcript、执行桌面规则，或告诉玩家洗牌检查是否通过。如果线上客户端和审计过的源码不同，玩家又回到了“只能相信平台”的黑箱状态。

所以，开源扑克为什么重要这件事，最好和“别人能不能重新构建并比对线上文件”放在一起看。

可复现构建能证明什么

如果同一份源码、同一套构建步骤、固定的依赖版本和环境，能反复生成完全相同的输出文件，这个构建就更接近可复现。两个独立的人重新构建客户端后，如果得到的文件哈希和线上版本一致，可信度就会提高：线上客户端很可能确实来自公开源码。

这不要求每个玩家都自己跑命令。重点是安全研究者、技术玩家或第三方有能力检查。一旦有人公开指出“线上文件和源码构建结果不一致”，这个问题就很严肃，因为比较方式是机械的：源码进去，构建出来，哈希相互比对。

它不能证明什么

可复现构建有用，但不是万能。它不能证明源码本身没有问题。错误逻辑也可以被稳定地构建出来。它不能证明每个依赖都安全，也不能发现玩家合谋、机器人、账号被盗，或玩家私下交流。

它也不能替代每一手牌的验证。客户端构建干净，只是其中一层；具体牌局仍然需要洗牌证据、签名、记录和可复查的发牌过程。想看牌局层面的验证，可以读自己验证一手牌是否被篡改和独立验证指南：fairpoker.app/verify-guide.html。

正确的说法应该更克制：可复现构建帮助证明“正在使用的客户端”和“大家能审计的源码”是一致的。

玩家应该看什么

一个认真做公平验证的扑克项目，应该说明源码在哪里、构建怎样运行、依赖版本怎样固定、最终文件怎样比对。文件哈希要容易检查，发布说明也应清楚写出哪个源码版本生成了哪个客户端版本。

数字签名可以再加一层保护，说明某个发布文件由谁确认过。想了解基础概念，可以看数字签名如何保护你。但签名和可复现构建回答的是两个问题：签名说明“谁签了这个文件”，可复现构建追问“这个文件是不是由公开源码生成的”。

最后一句

公平扑克不只需要承诺“牌洗得公平”。它还需要让玩家相信，用来检查这个承诺的软件本身也能被检查。可复现构建让这件事从口号变成可测试的事实，所以它应该成为可验证在线扑克的一部分。