在 Roblox 中实现客户端-服务器通信与状态同步时…

适用于 Roblox LocalScript 与 Script 之间跨网络边界通信、数据传递、状态同步以及防御滥用 RemoteEvent/RemoteFunction 的漏洞。

适用场景

解决思路

1. 根据方向、是否需要返回值和频率选择 Remote 类型：RemoteEvent 用于任意方向、不返回值、即发即忘（通知服务器玩家操作、广播状态）。
2. 当客户端需要服务器返回结果时用 RemoteFunction（客户端→服务器，会 yield 调用方），例如获取库存。
3. 高频更新且丢包可接受时用 UnreliableRemoteEvent（任意方向、不返回值）。
4. 默认优先用 RemoteEvent；避免服务器→客户端的 RemoteFunction，因为利用者冻结回调会无限阻塞服务器线程。
5. 始终把 Remotes 存放在 ReplicatedStorage。
6. 由服务器 Script 在任何 LocalScript 运行前创建 Remotes。
7. 按结构放置：ReplicatedStorage/Remotes/DealDamage（RemoteEvent）、GetInventory（RemoteFunction）、SyncPosition（UnreliableRemoteEvent）。
8. 在 ServerScriptService 的 Script 中创建 Folder，命名为 Remotes，并 parent 到 game:GetService('ReplicatedStorage')；用 make(class,name) 创建 RemoteEvent、RemoteFunction、UnreliableRemoteEvent 并 parent 到该 folder。
9. 客户端→服务器：在 LocalScript 中用 WaitForChild 获取 DealDamage，然后调用 DealDamage:FireServer({ targetId = 12345, amount = 50 })；服务器端第一个参数始终是自动注入的触发 Player，不能伪造。
10. 服务器监听 DealDamage.OnServerEvent:Connect(function(player, data) ... end) 时，player 身份可信；data 内容不可信，必须验证。
11. 服务器→单个客户端：用 Notify:FireClient(player, { message = 'Welcome!' })；客户端用 Notify.OnClientEvent:Connect(function(data) print(data.message) end)。
12. 服务器→所有客户端：用 AnnounceEvent:FireAllClients({ text = 'Game starting in 10 seconds!' })。
13. RemoteFunction 客户端调用、服务器返回：服务器设置 GetInventory.OnServerInvoke = function(player) return getPlayerInventory(player.UserId) end；客户端 local inventory = GetInventory:InvokeServer()，会 yield 直到服务器返回。
14. UnreliableRemoteEvent 高频同步：LocalScript 在 RunService.Heartbeat 中调用 SyncPosition:FireServer(character.HumanoidRootPart.CFrame)；服务器 SyncPosition.OnServerEvent:Connect(function(player, cframe) if typeof(cframe) ~= 'CFrame' then return end; 再做 sanity bounds check 后应用)。
15. 安全原则：把客户端视为敌对，把每个参数都当作不可信输入。
16. 在 OnServerEvent 中实现每玩家限流：定义 MAX_DAMAGE = 100、COOLDOWNS = {}、COOLDOWN_SECONDS = 0.5；用 now = tick()，若 COOLDOWNS[player.UserId] 存在且 now - COOLDOWNS[player.UserId] < COOLDOWN_SECONDS 则 return；然后 COOLDOWNS[player.UserId] = now。
17. 类型检查：若 type(data) ~= 'table' 则 return；若 type(data.targetId) ~= 'number' 则 return；若 type(data.amount) ~= 'number' 则 return。
18. 范围钳制：local amount = math.clamp(data.amount, 0, MAX_DAMAGE)。
19. 服务器端武器查找：local weapon = getEquippedWeapon(player)；若没有 weapon 则 return；绝不信任客户端提供的 Instance。
20. 服务器端目标查找：local target = getPlayerByUserId(data.targetId)；若没有 target 则 return；再 applyDamage(target, amount, player)。
21. 防参数注入：对所有参数做类型检查，避免意外类型崩溃 handler。
22. 防伤害放大：把数值钳制到合理最大值。
23. 防 Remote 刷屏：按玩家做冷却。
24. 防伪造目标：服务器从自身状态解析目标，不信任客户端传来的 UserId。
25. 防无限让出：避免服务器→客户端的 RemoteFunction。
26. 防重复行动：在执行前检查状态或消耗 token，避免重放有效 fire 买两次。
27. 速查 FireServer(args)：LocalScript → 服务器。
28. 速查 FireClient(player, args)：服务器 → 单个客户端。
29. 速查 FireAllClients(args)：服务器 → 每个客户端。
30. 速查 InvokeServer(args)：LocalScript → 服务器，等待返回。
31. 速查 OnServerEvent：服务器端监听 FireServer。
32. 速查 OnClientEvent：客户端监听 FireClient/FireAllClients。
33. 速查 OnServerInvoke：服务器端函数，分配给 InvokeServer。
34. 避免把 OnServerEvent 写在 LocalScript：客户端用 OnClientEvent；OnServerEvent 仅限服务器端。
35. 避免把 Remotes 放在 ServerStorage：移到 ReplicatedStorage。
36. 避免信任 payload 超出 player 身份：验证 payload 的每个字段。
37. 避免服务器→客户端 RemoteFunction：改用 RemoteEvent，防止冻结客户端阻塞服务器线程。
38. 避免 LocalScript 中不用 WaitForChild：Remotes 可能尚未存在，始终使用 WaitForChild。
39. 避免多次赋值 OnServerInvoke：只有最后一次赋值生效，保持在一处。
40. 避免在紧密循环中无节流 firing：使用 UnreliableRemoteEvent 或累积 delta time。

适用边界 · 注意事项

• 不适用于非 Roblox/Luau 环境，或没有客户端-服务器网络边界、无需跨端通信的场景。
• 若更新必须可靠送达，不要用 UnreliableRemoteEvent；若不需要返回值，不要用 RemoteFunction。
• 若没有服务端权威校验能力或不愿做验证，不应依赖 RemoteEvent/RemoteFunction 保证安全。