可验证公平扑克的威胁模型：玩家该问哪些问题

很多人听到“可验证公平扑克”，第一反应是：那是不是就不会有作弊？更准确的说法是：它能让玩家检查发牌和洗牌有没有按公开规则发生，但它不能自动解决所有玩家行为问题。

威胁模型就是把“怕什么”说清楚。它不需要吓人，也不是黑客教程。它只是把平台、玩家、设备、网络、日志和审核流程拆开看：谁有能力影响结果，哪里需要证据，哪里只能靠规则和人工治理。

先确定要保护什么

在线德州扑克里，最重要的资产不是一个按钮或一个页面，而是牌局的可信过程。玩家需要相信洗牌没有被平台临时改变，暗牌没有被不该看到的人看到，摊牌记录没有被事后改写。

可验证公平的核心价值，是把“相信平台”变成“可以检查证据”。如果你还不熟悉这个概念，可以先看 什么是可验证公平扑克。

一个清楚的威胁模型会问：

• 服务器是否能单独知道完整牌序？
• 玩家输入是否在揭示前被锁定？
• 牌局结束后是否能导出验证材料？
• 出问题时，日志能不能证明谁在什么时候做了什么？

把攻击面分成几类

第一类是发牌风险。比如服务器独自生成牌序、保存明文牌堆，或者能在玩家行动后改变随机输入。这类风险最适合用承诺、签名、多人参与洗牌和可复算日志来降低。

第二类是玩家行为风险。比如合谋、软打、多账号、旁人代打、实时辅助工具。这些问题不是检查牌堆就能发现的，因为牌可能是真的随机，但玩家之间的行为仍然不公平。

第三类是账户和设备风险。玩家的邮箱被盗、浏览器插件乱读页面、公共 Wi-Fi 被监听、共享屏幕泄露手牌，都可能破坏体验。这里需要两步验证、会话保护、清楚的安全提醒和可撤销的登录。

看证据链，而不是只看口号

“我们使用安全随机数”这句话不够。更有用的问题是：随机输入何时产生？是否先承诺再揭示？每一步有没有签名？牌局结束后，玩家能不能用公开材料复算结果？

如果平台只给最终结果，不给过程材料，玩家还是很难独立验证。更好的做法是留下清楚的审计轨迹：牌局编号、参与方提交、承诺值、揭示值、签名、事件顺序和验证结果。相关背景可以看 扑克审计轨迹是什么。

威胁建模在软件安全里是常见做法。OWASP 把它描述为从攻击者角度看系统、识别并处理风险的结构化方法：OWASP Threat Modeling Process。放到扑克里，道理一样：先知道哪里可能出事，再决定该留下什么证据。

不要把公平验证和反作弊混在一起

可验证洗牌主要回答“牌有没有被平台动过”。反作弊主要回答“玩家之间有没有不正当配合，账户有没有异常，行为模式是否可疑”。两者都重要，但不是同一种工具。

比如，一个完美可验证的发牌流程，仍然不能自动知道两个玩家是否在语音里交换信息。反过来，一个反作弊系统再严格，如果服务器能单独看见所有暗牌，也仍然不是理想的公平架构。更完整的解释可以看 为什么可验证公平扑克仍然需要反作弊。

给玩家的简单检查表

普通玩家不需要读懂所有密码学细节，但可以问几个很实用的问题。平台有没有解释服务器能不能单独发牌？有没有说明验证材料在哪里？有没有说清楚它不能解决合谋、机器人和账号被盗？举报可疑牌局时，能不能引用手牌记录而不是只发截图？

如果这些问题都有清楚答案，这个平台至少把公平当成工程问题，而不是广告词。如果答案含糊，只反复强调“相信我们”，那就要谨慎。真正可信的在线扑克，不是没有风险，而是把风险拆开、留下证据，并把边界讲清楚。