说得好！这是一个非常核心且重要的问题，防破解的本质在于：将客户端（用户电脑/手机）视为完全不可信的环境，所有核心、敏感的逻辑和资源都必须放在服务器端。
“把鸡蛋放在最坚固的篮子里，只把蛋壳给客户看”。
下面我为你详细梳理，哪些东西必须、或者强烈建议放在服务器端。
一、 必须放在服务器的核心资产（“命根子”）
这些是破解者最想得到的东西，一旦放在客户端，几乎100%会被提取。
1、核心算法与业务逻辑
是什么你产品的“独门秘籍”，图像处理的滤镜算法、金融软件的风险评估模型、游戏的伤害计算公式、AI模型的推理过程。
为什么如果放在客户端，破解者可以直接反编译，看到你的核心代码，不仅容易被复制，还可能被找到逻辑漏洞。
怎么做将这些逻辑封装成服务器的API接口，客户端只负责发送输入（如图片、数据），服务器计算后返回结果。
2、敏感数据和资源
是什么、高级功能的数据、高清图像、音频、视频、剧情文本等。
为什么如果这些资源直接打包在客户端，破解版可以轻易地解锁或提取它们，导致付费内容泄露。
怎么做使用服务器进行动态资源加载，用户只有通过验证（如已购买）后，服务器才临时提供资源链接，且链接应有时效性。
3、验证与授权逻辑
是什么判断用户是否有权限使用某个功能的最终决定权。
为什么如果在客户端做验证（如if (user.isVIP) { ... }），破解者可以轻易修改这个判断条件，让isVIP 永远为真。
怎么做所有关键权限的验证必须在服务器端完成，客户端只能作为一个“展示器”，根据服务器返回的授权结果来开放功能。
4、加密密钥
是什么用于加密通信或本地数据的密钥。
为什么“不要把锁和钥匙放在一起”，任何存储在客户端的密钥，无论怎么混淆，最终都会被找到，一旦密钥泄露，你的所有加密都形同虚设。
怎么做使用非对称加密（如RSA），服务器持有私钥，客户端只用公钥加密数据发送给服务器，服务器绝不发送私钥。
这些能极大地增加破解难度和成本。
1、反调试/反作弊检测
是什么检测用户是否在使用调试器、模拟器、外挂程序等。
为什么客户端的反调试代码本身也可能被绕过，将一部分检测逻辑放在服务器，通过分析用户的行为数据（如操作频率、完成时间）来判断更为可靠。
怎么做服务器端建立用户行为模型，对异常数据（如 impossibly fast clicks, 不可能的操作序列）进行标记和处置。
2、关键配置和规则
是什么应用程序的一些运行参数，如关卡难度、商品价格、活动规则等。
为什么如果写在客户端，每次修改都需要用户更新App，放在服务器可以实时热更新，并且能防止破解者通过修改本地配置来作弊。
怎么做应用启动时或定期从服务器拉取配置。
3、代码/资源的热更新机制
是什么不通过应用商店审核，直接更新部分代码或资源。
为什么当你发现一个逻辑漏洞被利用时，可以立即通过服务器推送修复，而不用等下一版本发布，这在与破解者的“攻防战”中至关重要。
并非所有东西都能放服务器，需要考虑用户体验和成本。
性能与延迟需要实时响应的逻辑（如游戏的战斗手感）如果全放服务器，网络延迟会毁掉体验，这时可能需要一种折中方案，比如服务器做“仲裁”，客户端做“预测”。
离线功能如果应用需要离线使用，就必须在客户端保留一部分逻辑和数据，这时需要采用本地加密、代码混淆等手段来增加破解难度。
服务器成本将所有计算放在服务器，会显著增加服务器的负载和带宽成本。
核心原则：信任最小化。 绝不信任客户端传来的任何数据，所有来自客户端的请求都必须在服务器端进行校验。
一个简单的设计思路：
1、问自己：这个功能/数据/算法被破解，会不会让我破产/失去核心竞争力？
2、如果会：毫不犹豫，把它放到服务器，只通过API提供服务。
3、如果不会，但影响很大：考虑拆分，核心部分放服务器，非核心部分可以做客户端加固（如代码混淆、加壳）。
4、如果影响不大：可以放在客户端，但也要做基本的混淆。
防破解是一个“增加成本”的博弈。 你的目标不是做到100%无法破解（这几乎不可能），而是将破解的成本和门槛提得足够高，高到让绝大多数破解者觉得无利可图、或者得不偿失，从而保护大多数用户和你的核心利益，将关键资产放在服务器，是实现这一目标最有效的手段。
文章摘自：https://idc.huochengrm.cn/js/18414.html
评论