凌晨三点十七分，利用漏洞我盯着屏幕上的游戏注册页面，光标在“昵称”栏里闪烁。产生次性验证码刷新到第五次的大量时候，我突然意识到，账号这个游戏可能从来没打算拦住任何人。利用漏洞

QQ游戏的游戏大厅里永远挤着打牌的人，斗地主、产生次性麻将、大量象棋，账号输赢都带着股烟火气。利用漏洞但真正懂行的游戏人知道，这地方最值钱的产生次性不是欢乐豆，是大量那些能无限生成的新身份。注册流程简单得可笑——一个QQ号就能直接登录，账号而QQ号本身，用手机号就能批量申请。运营商为了拉新用户，允许一张身份证绑五个号，虚拟运营商号段更是便宜到几分钱一个。有人专门囤了上千张物联网卡，插在旧手机上，用脚本自动跑完注册流程。

漏洞出在“防沉迷系统”和“游客模式”的夹缝里。游戏客户端有个隐藏逻辑：当检测到账号未实名时，会弹窗要求补全信息，但如果你直接关掉弹窗，系统会默认你为“临时游客”，给你分配一个随机ID——这个ID居然能正常进入对局，只是不能发言和加好友。更妙的是，这个临时ID每局结束都会变化，等于你每打一局，就自动换了一个新账号。

我亲眼见过一个工作室的操作。十台旧手机排成两排，每台都开着自动点击器，屏幕上的人物在斗地主房间里机械地出牌。他们不是来赢的，是来输的。每局故意快速出牌，三五分钟结束战斗，然后系统弹窗“是否继续？”——点“是”，新ID生成，继续下一局。这些账号的唯一用途，是给某些主播刷“陪玩人气”，或者更阴暗的，给外挂当“陪练靶子”。

有人靠这个漏洞刷“新手礼包”。每个临时ID首次登录都能领2000欢乐豆，虽然不多，但架不住量。脚本每局结束后自动领取，一天下来能攒几十万豆子，再通过私下交易换成人民币。游戏公司不是没堵过，封过一次IP段，但架不住人家用4G流量池轮换。后来加了设备指纹检测，工作室就用模拟器改IMEI码——道高一尺，魔高一丈。

最讽刺的是，这个漏洞的发现者最初只是个初中生。他在贴吧发帖说“发现个不用实名就能玩的方法”，结果被管理员秒删。但截图已经传开了，三天之内，淘宝上出现了代刷服务，五块钱一千个临时ID。游戏客服的回复模板永远是“已反馈技术部门”，可三个月过去，漏洞还在。

我后来试过一次。用虚拟号注册了个QQ，登录游戏，关掉实名弹窗，果然进入了游客模式。打了三局，每局结束都提示“身份已刷新”。第四局我故意挂机，被踢出房间后，系统提示“临时身份已失效”——但重新登录，又是新ID。整个过程没花一分钱，没填任何真实信息。

这事的荒谬在于，游戏公司明明知道漏洞存在，却选择不彻底修复。因为游客模式本身是给“不想注册的轻度用户”准备的，如果完全砍掉，会损失一部分流量。而临时ID的生成逻辑，又恰好绕过了账号风控系统。两边都在装糊涂，一个假装不知道，一个假装堵不住。直到某个大主播用这种账号开挂直播，被截图举报，官方才连夜更新补丁——但那时候，工作室早就囤了足够多的“干净账号”，换个游戏继续玩同样的把戏。

说到底，这哪是什么技术漏洞，分明是商业逻辑和用户行为之间永远填不平的缝隙。你设计规则的时候，就该想到有人会钻空子。只是没想到，钻空子的人比设计规则的人更懂规则。