BinaryHub 개발기 ⑩ 클라가 모든 걸 박는 사이트의 방어선 — StudyAce 어뷰징 대응

// 콘솔에서
const recs = JSON.parse(localStorage.getItem('studyace_study_records_<email>'));
recs['equipped_title'] = 'challenger_ruler';   // 가장 높은 티어 칭호
localStorage.setItem('studyace_study_records_<email>', JSON.stringify(recs));
// sync 한 번 굴리면 서버에 박힘

// functions/_lib/whitelists.ts
export const TITLE_IDS: ReadonlySet<string> = new Set([
  "accuracy_85", "amethyst_sage", "challenger_ruler", /* ... 44개 */
]);
 
export const RELIC_IDS: ReadonlySet<string> = new Set([
  "relic_astronomy_map", "relic_bell", /* ... 28개 */
]);
 
export function isValidTitle(t: unknown): boolean {
  if (t === null || t === undefined || t === "") return true;
  return typeof t === "string" && TITLE_IDS.has(t);
}
 
export function sanitizeGachaInventory(raw: unknown): Record<string, number> | null {
  if (!raw || typeof raw !== "object" || Array.isArray(raw)) return null;
  const entries = Object.entries(raw as Record<string, unknown>);
  if (entries.length > RELIC_INVENTORY_MAX_KEYS) return null;
  const out: Record<string, number> = {};
  for (const [k, v] of entries) {
    if (!RELIC_IDS.has(k)) return null;
    const n = Number(v);
    if (!Number.isInteger(n) || n < 1 || n > RELIC_LEVEL_MAX) return null;
    out[k] = n;
  }
  return out;
}

const rawTitle = study_records?.equipped_title;
const titleToSave = isValidTitle(rawTitle) ? (rawTitle ? String(rawTitle) : null) : null;
const titleIsKnownGood = isValidTitle(rawTitle);
 
const rawInventory = settings?.gacha_inventory;
const sanitizedInv = rawInventory ? sanitizeGachaInventory(rawInventory) : null;
 
if (titleIsKnownGood || (sanitizedInv !== null)) {
  await env.DB.prepare(
    "UPDATE users SET title = COALESCE(?, title), gacha_inventory = COALESCE(?, gacha_inventory) WHERE email = ?"
  )
    .bind(titleIsKnownGood ? titleToSave : null,
          sanitizedInv ? JSON.stringify(sanitizedInv) : null,
          email)
    .run();
}

// 절대값 cap — 1,000,000 점이면 정상 사용자가 도달 불가능
if (timeElapsed > 1_000_000) return error("값이 허용 범위를 벗어났습니다.", 400);
 
// delta cap — 정상 학습 한 세션 200~500, cap 500
const MAX_SCORE_DELTA_PER_POST = 500;
const FIRST_PUSH_MARGIN = 1000;
const RECENT_WINDOW_MS = 10 * 60 * 1000;
 
if (isFirstPush) {
  if (timeElapsed > FIRST_PUSH_MARGIN) return error(...);
} else {
  const delta = timeElapsed - existingScore;
  // 최근 10분 내 push 면 한도 절반 — 매크로·도배 방지
  const wasRecent = Number.isFinite(lastUpdatedAtMs) &&
                    Date.now() - lastUpdatedAtMs < RECENT_WINDOW_MS;
  const cap = wasRecent ? Math.floor(MAX_SCORE_DELTA_PER_POST / 2) : MAX_SCORE_DELTA_PER_POST;
  if (delta > cap) return error(`점수 증가량이 비정상입니다 (1회 POST 최대 +${cap}).`, 400);
}

const MAX_COUNT_PER_KEY = 200;  // 한 단원 200회는 비현실적
const MAX_TOTAL_DELTA = 300;    // 한 번 POST 의 총 증가량
// 30초 안 또 push 시 한도 절반 + 429

const EXEMPT_COUNT_KEYS = new Set([
  "gacha_points", "gacha_spent",
  "bonus_quest_xp", "bonus_login_xp",
  "login_count", "login_streak",
  "quest_claimed_count", "wrong_note_solved_count",
  "equipped_title", "equipped_title_name", "equipped_theme",
]);
 
for (const [k, v] of Object.entries(study_records)) {
  if (k.startsWith("last_")) continue;
  if (EXEMPT_COUNT_KEYS.has(k)) continue;
  if (Array.isArray(v)) continue;
  if (typeof v === "string") continue;
  // ... cap 검증
}

// gamification.js 의 옛 pullGachaItem
const roll = Math.random();   // 클라 RNG
let targetRarity = 'COMMON';
if (roll < 0.003) targetRarity = 'ETERNAL';   // 0.3%
// ...
 
let inv = getGachaInventory();
inv[pulledItem.id] = Math.min(10, oldLevel + 1);  // 클라 localStorage
saveGachaInventory(inv);

export const onRequestPost: PagesFunction = async ({ request, env }) => {
  const payload = await authFromRequest(request, env.JWT_SECRET);
  if (!payload) return error("로그인이 필요합니다.", 401);
  const email = payload.sub;
 
  const row = await env.DB.prepare(
    "SELECT study_records, settings, updated_at FROM user_progress WHERE user_email = ?"
  ).bind(email).first();
  if (!row) return error("진행도 데이터가 없습니다.", 404);
 
  const records = JSON.parse(row.study_records) || {};
  const settings = JSON.parse(row.settings || "{}");
 
  // 빈도 cap — 1초 안 재호출 차단
  const now = Date.now();
  const lastGachaAt = Number(records["last_gacha_at"] || 0);
  if (now - lastGachaAt < MIN_INTERVAL_MS) {
    return error("가챠가 너무 빠릅니다.", 429);
  }
 
  // 비용 계산 — 클라가 보낸 cost 는 신뢰 X. 서버가 records 에서 직접
  const equippedTitleId = String(records["equipped_title"] || "");
  const unlockedTitles = Array.isArray(records["unlocked_titles"])
    ? records["unlocked_titles"].map(String) : [];
  const cost = computeCost({ equippedTitleId, unlockedTitles, dayOfWeek: new Date().getUTCDay() });
 
  const earned = Number(records["gacha_points"] || 0);
  const spent = Number(records["gacha_spent"] || 0);
  if (earned - spent < cost) return error(`포인트가 부족합니다.`, 402);
 
  // 굴림 — crypto.getRandomValues 는 Math.random 보다 예측 불가
  const pulled = rollGacha();
 
  // 인벤토리 갱신 — base 도 sanitize 통과한 값만 사용
  const baseInv = sanitizeGachaInventory(settings["gacha_inventory"]) ?? {};
  const oldLevel = baseInv[pulled.id] || 0;
  const newLevel = Math.min(RELIC_LEVEL_MAX, oldLevel + 1);
  const newInv = { ...baseInv, [pulled.id]: newLevel };
 
  // 차감 + 시점 기록
  records["gacha_spent"] = spent + cost;
  records["last_gacha_at"] = now;
  settings["gacha_inventory"] = newInv;
 
  await env.DB.prepare(
    "UPDATE user_progress SET study_records = ?, settings = ?, updated_at = ? WHERE user_email = ?"
  ).bind(JSON.stringify(records), JSON.stringify(settings), now, email).run();
  await env.DB.prepare("UPDATE users SET gacha_inventory = ? WHERE email = ?")
    .bind(JSON.stringify(newInv), email).run();
 
  return json({ success: true, result: { id: pulled.id, rarity: pulled.rarity, newLevel, isNew: oldLevel === 0, isMaxedOut: oldLevel >= RELIC_LEVEL_MAX },
                cost, payback, newPoints: earned - spent - cost, newInventory: newInv, updated_at: now });
};

async function pullGachaItem(times = 1) {
  // 멀티는 서버 미지원 — 단일 강제
  if (times > 1) {
    alert('현재 단일 가챠만 지원됩니다.');
    return;
  }
  // ... 애니메이션 시작
 
  const res = await fetch(API_BASE + '/api/gacha-pull', {
    method: 'POST',
    headers: { 'Authorization': 'Bearer ' + token, 'Content-Type': 'application/json' },
  });
  const data = await res.json();
  if (!res.ok) { /* 에러 alert + 애니메이션 정리 */ return; }
 
  // 서버 응답으로 로컬 갱신 (서버가 권위)
  localStorage.setItem(`studyace_gacha_inventory_levels_${userKey}`,
    JSON.stringify(data.newInventory));
  const records = getStudyRecords();
  records['gacha_spent'] = (records['gacha_spent'] || 0) + data.cost;
  if (data.payback > 0) records['bonus_quest_xp'] = (records['bonus_quest_xp'] || 0) + data.payback;
  localStorage.setItem(`studyace_study_records_${userKey}`, JSON.stringify(records));
 
  // ... 결과 카드 렌더링 (서버가 결정한 item.rarity·newLevel 표시)
}