协议安全的重要性
棋牌游戏的网络协议是客户端和服务端通信的桥梁。如果协议被逆向分析，攻击者可以：窃取其他玩家手牌信息、构造虚假协议包作弊、绕过客户端实现协议模拟器。协议安全是反外挂体系的关键环节。
传输层加密
TLS 1.3
基础的传输层保护，所有通信必须走HTTPS/WSS。配置证书固定（Certificate Pinning）防止中间人攻击。注意：仅有TLS是不够的，因为控制客户端的攻击者可以在TLS加密前获取明文数据。
自定义加密层
在TLS之上增加应用层加密。使用AES-256-GCM对协议Payload加密。密钥通过ECDH密钥协商动态生成，每次连接使用不同密钥。密钥派生使用HKDF（HMAC-based Key Derivation Function）。
协议防篡改
消息签名
每条消息附带HMAC-SHA256签名，服务端验证签名完整性。签名内容包括：消息序号+时间戳+消息体。防止消息被篡改或重放。
序号与时间戳
消息递增序号防止重放攻击（服务端拒绝非递增序号的消息）。时间戳窗口验证（拒绝时间差超过5秒的消息）。
协议混淆
- 随机填充：在消息中添加随机长度的填充数据，使数据包长度不可预测
- 字段乱序：协议字段顺序定期变化，每个版本使用不同的字段映射表
- 假字段：添加不影响逻辑的虚假字段，增加逆向分析难度
反协议模拟
协议模拟器直接向服务端发送伪造的合法协议包。防护方案：客户端环境指纹（设备ID+系统信息+应用完整性校验）、挑战-响应机制（服务端发送随机挑战，客户端使用受保护的算法计算响应）、行为特征验证（协议模拟器的消息间隔过于规律）。