BluffKing 有外挂卖吗？为什么我要相信你的反外挂能力？

有人问我：“有辅助吗？”我追问是什么意思，对方回了两个字：“外挂。”

我发给他两条链接：一篇讲德州扑克的可验证发牌，一条是安全悬赏。最后补了一句：“目标就是没人可以作恶。”

但这还没有回答一个更重要的问题：你凭什么相信我？“我们没有外挂”“我们技术很强”，换谁都能说。玩家需要的是可以核对、可以质疑、出了问题能追查的依据。

还有这样一段对话：有人问“这个有软件卖吗？我去逗逗我朋友”。我的回复是，软件还有很多 bug，每天都在修，并附上了更新日志。把问题和修复公开，也是接受检查的一部分。

BluffKing 有外挂卖吗？

BluffKing 官方不出售外挂，也不提供付费看底牌、指定好牌或改结算的服务。有人在外面声称能卖这些能力，并不代表他真的做得到，更不代表他获得了官方授权。

不过，“官方不卖”和“世界上不存在能利用的漏洞”是两回事。我们没有依据替所有第三方卖家的程序背书，也不能凭一句保证排除所有未知漏洞。判断一个所谓外挂，要看它究竟能在什么条件下做到什么，以及结果能不能复现。

例如，把自己屏幕上的两张牌改成 AA，只说明页面显示被改了；只有服务端真的接受这副被修改的手牌，并据此改变胜负和结算，才涉及另一层能力。猜中一次河牌，也不等于能稳定提前读取公共牌。

别只信我说的，先看你能验证什么

德州默认发牌已有可验证发牌机制。可以把它想成 52 个不透明信封：先锁定一副加密牌组，再结合玩家提交的随机数决定发牌顺序。牌局结束后，玩家能检查牌组证明，以及自己有权看到的牌所对应的解密证明。

这不是让你把别人的弃牌全部翻开。验证材料应让你核对“这张牌是不是来自约定的位置”，同时让别人的未亮底牌继续保持加密。具体协议、随机数参与的前提和验证范围，见《德州扑克：零知识证明》。

一手默认发牌的德州正常结束后，本手拿到底牌的玩家可以从手牌历史进入“公平验证”，也可以打开公平性验证页面。尽量使用打这手牌时的同一账号、同一设备和浏览器，让证明能与本机当时收到的记录对照。

• 完全通过（本机亲历）：证明通过，本机见证也完整且一致，自己的随机数被纳入且无人扣留等必要检查通过。
• 服务器记录有效，本机未完整亲历：提供的证明通过，但缺少完整本机记录，不能当作完整亲历的结论。
• 失败或无法验证：需要继续查看失败项或缺少的材料，不能解释成“已经证明没问题”。

这套验证针对发牌证据，不会顺便证明所有玩家都没串通、没人使用决策辅助，也不保证账号或设备绝不会被入侵。默认模式的服务器仍持有解密所需的秘密；“证明有效”不等于“运营方在技术上绝不可能知道牌”。被篡改的客户端也可能显示假的“通过”，验证代码本身同样需要接受审查。

源码公开，让“安全”成为可以检查的问题

BluffKing 的源代码公开。懂技术的人可以检查：未公开的牌有没有发给不该收到的人，身份与取牌权限在哪里校验，结算有没有信任客户端传来的牌面，验证器究竟验证了哪些条件。

开源提供检查入口，不自动等于没有漏洞；看过某个源码版本，也不自动证明线上正在运行完全相同的版本。已有的安全悬赏审计记录可以作为阅读线索，但一次审计没有发现可利用路径，不是永久的安全保证。

截图中的三万元，具体悬赏什么？

截至本文撰写时，安全悬赏设了三项挑战，每项经复现确认奖励人民币 10,000 元，三项全部确认合计 30,000 元：

1. 提前预测公共牌：在服务器正式翻牌前，知道这一手准确的公共牌，包括花色和点数。
2. 取得他人底牌：获得其他玩家尚未公开的底牌。
3. 修改自己的手牌并影响服务端结算：让服务端接受修改后的牌并据此结算；仅修改浏览器显示不算。

所以截图里“三万元”的意思是三项奖励合计，不是随便一个问题都奖励三万元。活动期限、具体条件和联系方式以安全悬赏页面为准。悬赏让质疑有明确的提交和核验入口；奖金数额本身并不能证明系统安全。

如果你真的遇到“外挂”，把可核对的线索留下来

保留房间或手牌编号、发生时间、异常操作的前后过程，以及截图或录屏。如果对方声称售卖外挂，保留他承诺的具体能力；不要为了证明他说的是真的，就向他交出自己的账号或设备控制权。通过安全悬赏页面联系管理员，提交复现步骤和必要证据。

核查应区分：只是显示变化，还是服务端结果真的改变；只是一次好运，还是能重复得到原本无权知道的信息。发牌验证也不能替代串通调查，后者还需要结合对局行为和其他证据，参见一次串通举报的核查记录。

“没人可以作恶”是我们想达到的目标，不是一句已经覆盖所有风险的技术结论。你不需要因为我是开发者就相信我；你应该能检查证据、提出反例，并要求问题得到解释和修复。这才是我愿意拿出来讨论的反外挂能力。