深色模式
反作弊通用知识
本章你将学到：反作弊软件为什么存在、大致是怎么工作的、为什么它需要管理员权限甚至内核驱动；它和安全软件、各种"注入类"软件、系统安全设置之间为什么会打架；"初始化失败""服务未运行""驱动加载失败"这类提示到底在说什么；被踢出和"误报"是怎么回事；以及最重要的——怎么判断一个问题是不是反作弊引起的。
什么时候用得上：用户说"提示反作弊启动失败""进游戏就被踢出来""一开客户端杀软就报毒""网吧里根本起不来"。反作弊是客户端里最容易和别的东西冲突的部件，也是最容易让客服慌的部件。本页讲通用原理，平台自己的反作弊细节见 反作弊（R0Guard）。
反作弊为什么存在
竞技对战的前提是公平。外挂（透视、自瞄、锁头）会直接毁掉这个前提，正常玩家会流失，平台就没了。所以任何有排名、有奖励的对战平台都必须有反作弊。
反作弊的工作说白了是：在用户电脑上盯着，看有没有别的程序在偷偷改游戏、读游戏内存、伪造输入。要盯住这些，它自己就得站在比外挂更高的位置上——这就是它需要高权限、需要驱动、容易和其他高权限软件打架的根本原因。
大白话
反作弊像考场的监考老师。他要能看到每个人的桌面（检测其他程序）、能检查考卷有没有被换（完整性校验）、能观察行为有没有异常（行为分析）。监考老师要进考场，就得有钥匙（管理员权限）；如果保安（杀软）不认识他，就会把他拦在门外——这不是老师的问题，也不是保安的问题，是两边没打过招呼。
通用工作方式
不同反作弊的实现细节不同，但大致都是这四类手段的组合：
| 手段 | 大白话 | 需要什么权限 | 容易和什么冲突 |
|---|---|---|---|
| 用户态检测 | 在普通程序层面扫描：有哪些进程、哪些窗口、哪些程序往游戏里塞了东西 | 普通或管理员 | 覆盖层、录屏、宏软件 |
| 内核驱动检测 | 装一个驱动到系统最底层，看有没有可疑的驱动、有没有程序在读写游戏内存 | 管理员 + 驱动签名 + 系统允许加载 | 杀软驱动、其他游戏的反作弊驱动、系统安全设置 |
| 完整性校验 | 检查游戏文件、反作弊自身文件有没有被改 | 读文件权限 | 杀软隔离/修改文件、磁盘损坏、文件被用户改过 |
| 行为分析 | 在服务器端看操作数据是否像人 | 不在用户电脑上 | 一般不冲突；结论由平台判定 |
大多数现代反作弊的检测部分加了壳（一种防止被分析的保护手段），这让它在杀软眼里"长得像病毒"——加壳是病毒最常用的手段之一。所以杀软报反作弊组件为可疑，是结构性的、几乎必然的，不是平台的程序"有毒"。
为什么客服要懂
反作弊相关的问题有三个特点：
- 表现五花八门：可能是客户端起不来、可能是游戏进不去、可能是进去几分钟被踢、可能是杀软弹窗、可能是啥提示都没有程序就没了。
- 原因常常不在反作弊本身：多数是环境（杀软、网吧管理软件、系统设置、残留驱动）不让它正常工作。
- 用户情绪敏感：涉及"作弊"两个字，用户容易觉得被冤枉。
你不需要知道反作弊内部怎么检测。你需要知道的是：它需要什么条件才能正常工作，哪些东西会破坏这些条件，以及客服的边界在哪——客服排查"它为什么起不来"，不判定"用户有没有作弊"。
为什么需要管理员权限和驱动
| 反作弊要做的事 | 为什么普通权限做不到 |
|---|---|
| 看到所有进程、包括别人隐藏的 | 普通权限只能看到自己用户下的普通进程 |
| 阻止别的程序往游戏里注入 | 拦截别的进程的操作需要系统底层权限 |
| 检测有没有作弊驱动 | 驱动在内核层，只有另一个内核层的东西才能看到 |
| 保护自己不被外挂结束 | 普通进程谁都能结束 |
所以：反作弊类组件在没有管理员权限的环境下大多起不来，这是设计使然。用户在 UAC 框点"否"、网吧受限账户、企业电脑受限策略，都会直接导致"初始化失败"。
启动时机
不同的反作弊在不同时刻启动，决定了它出问题时用户看到什么：
| 启动时机 | 表现 | 出问题时用户看到的 |
|---|---|---|
| 随客户端启动 | 打开客户端时驱动/服务就起来了 | 客户端启动阶段报错、客户端打不开或闪退 |
| 随游戏启动 | 点"开始游戏"时才起 | 游戏启动阶段报错、游戏起不来、能进客户端进不了游戏 |
| 常驻后台 | 开机就在，或者装完就一直跑 | 开机报错、后台进程被杀软报 |
| 进服务器时校验 | 连接对战服务器时检查 | 能进游戏但进不了对局、进对局几秒被踢 |
待技术确认
平台反作弊组件 R0Guard 的具体启动时机（随客户端 / 随游戏 / 两者都有）、对应的进程名与服务名、正常运行时在任务管理器里应该看到什么，需与技术确认后填入 反作弊（R0Guard）。本页仅讨论通用情况。
与安全软件的冲突
这是反作弊问题里最常见的一类，而且是双向的：
杀软视反作弊为可疑
| 杀软的动作 | 表现 | 怎么发现 |
|---|---|---|
| 拦截驱动加载 | "驱动加载失败""初始化失败" | 杀软的拦截日志、弹窗 |
| 隔离/删除文件 | 客户端提示文件缺失、校验失败；反作弊组件目录里少文件 | 杀软的隔离区 |
| 结束进程 | 客户端或反作弊进程悄悄消失，无报错 | 杀软的"主动防御"记录 |
| 阻止注入到游戏 | 反作弊无法保护游戏，进服务器被拒 | 杀软日志 |
| 网络拦截 | 反作弊无法联网校验 | 杀软防火墙模块的记录 |
反作弊视杀软或其他软件为可疑
某些杀软、系统优化软件也会往游戏进程里注入、也会装内核驱动。反作弊看到"有不认识的东西在注入游戏"，会拒绝启动或把用户踢出。这时用户看到的是反作弊报错，但根源是另一个软件。
处理原则
- 让用户查杀软的隔离区和拦截记录（具体位置见 安全软件与拦截）。
- 有拦截记录 → 从隔离区恢复文件，把客户端安装目录加入白名单/信任区，重启客户端。
- 没有记录但仍怀疑 → 暂时退出杀软（不是卸载）试一次，好了就确认是它，然后加白名单再把杀软开回来。
- 多个杀软共存（360 + 电脑管家 + 火绒）是冲突高发区，建议只留一个。
禁止
不要让用户卸载 Windows Defender 或任何杀软来"解决"反作弊问题。加白名单、暂时退出测试是可以的；卸载是不可逆的安全风险，而且 Defender 根本卸不掉，让用户去折腾它只会搞坏系统。
与其他软件的冲突
除了杀软，下面这些类别的软件也会和反作弊打架。共同点是：它们要么往别的程序里注入，要么在内核层干活，要么能伪造输入。
| 软件类别 | 例子 | 反作弊的看法 | 典型表现 |
|---|---|---|---|
| 虚拟机 | VMware、VirtualBox、Hyper-V 里跑游戏 | 大多数反作弊直接拒绝在虚拟机里运行 | "不支持的环境""检测到虚拟机" |
| 调试工具 | 各类调试器、内存查看器、进程分析工具 | 高度可疑 | 启动被拒、被踢 |
| 修改器 | 游戏修改器、内存修改工具（哪怕是给单机游戏用的） | 只要在运行就可疑 | 被拒、被踢，甚至被标记 |
| 宏软件 | 鼠标宏、压枪宏、键盘映射软件、外设驱动里的宏功能 | 能伪造输入，是重点打击对象 | 被踢、被标记 |
| 覆盖层 | Steam 覆盖层、Discord、显卡软件叠加层 | 注入到游戏进程，多数被放行但偶有冲突 | 启动失败、帧数低、崩溃 |
| 录屏/直播 | OBS、录屏工具 | 大多被放行，少数使用注入模式的会冲突 | 启动失败、崩溃 |
| 注入类工具 | 变声器、皮肤修改、界面美化、"优化补丁" | 高度可疑，且有的本身就是外挂的变种 | 被拒、被踢、被标记 |
| 远程控制 | ToDesk、向日葵、TeamViewer | 部分反作弊禁止在远程会话中运行 | 启动失败、被踢 |
| 其他游戏的反作弊 | 两个反作弊驱动同时加载 | 互相视为可疑 | 启动失败、蓝屏 |
这一类冲突的排查方法见 常见软件冲突。基本动作是：让用户列出当前在跑的程序，按嫌疑逐个退出验证。
注意
"皮肤修改器"值得特别说一句：一些用户用第三方工具在本地"换皮肤"，觉得只是改画面不算作弊。在几乎所有反作弊眼里这就是外挂，会被踢甚至标记。客服要明确告知用户这类工具不能用，但不做"你作弊了"的判定，判定归平台流程。
系统安全设置的影响
反作弊要加载内核驱动，Windows 对内核驱动有一系列安全要求。用户的系统设置不满足，驱动就加载不了。
| 设置 | 是什么 | 对反作弊的影响 | 怎么看 |
|---|---|---|---|
| 安全启动（Secure Boot） | 开机时只允许加载签名过的系统组件 | 部分反作弊要求开启；关闭状态可能拒绝运行 | Win + R 输入 msinfo32 回车 → "安全启动状态" |
| TPM | 主板上的安全芯片 | 部分反作弊（尤其 Win11 下）要求 | msinfo32 或 Win + R 输入 tpm.msc |
| 内核隔离 / 内存完整性（HVCI） | Windows 一项保护内核的功能 | 老版本反作弊驱动可能加载失败；现代的一般兼容 | Windows 安全中心 → 设备安全性 → 内核隔离详细信息 |
| 测试模式 / 禁用驱动签名强制 | 允许加载没签名的驱动 | 反作弊拒绝在此状态运行，因为外挂驱动也能加载 | 桌面右下角有"测试模式"水印 |
| Windows 版本过旧 | Win7、Win8、老的 Win10 版本 | 缺少反作弊依赖的系统功能，直接不支持 | Win + R 输入 winver |
| 系统关键文件被改 | "精简版"系统、破解补丁 | 完整性校验失败 | 问用户系统来源 |
待技术确认
平台反作弊对安全启动、TPM、内核隔离的具体要求（必须开 / 建议开 / 无要求），以及支持的最低 Windows 版本，需与技术确认后填入 反作弊（R0Guard）。
关于"测试模式"
桌面右下角出现"测试模式 Windows 10/11 ……"字样，说明系统被设置成允许加载未签名驱动。这几乎总是用户或某个软件主动改的（老外设驱动、某些破解工具、也可能是外挂）。反作弊看到这个状态会拒绝运行。
处理方向是关掉测试模式，回到默认的安全状态——注意这和下面的禁止事项方向相反，是"恢复安全"而不是"降低安全"。具体操作涉及管理员命令行，先问用户"知道这个是怎么开的吗"，再按 系统基础 里的方法处理。
禁止
不要为了让反作弊"跑起来"而让用户：关闭安全启动、关闭内核隔离/内存完整性、开启测试模式或禁用驱动签名强制、卸载 Defender、修改 BIOS。这些操作降低系统安全、可能导致系统无法启动或 Win11 无法更新，并且和反作弊的要求是反着的——反作弊要的是更安全的环境，不是更松的。遇到系统安全设置相关的报错，收集 msinfo32 截图后按 何时升级 升级。
常见提示的通用含义
| 提示大意 | 通常在说什么 | 第一步看什么 |
|---|---|---|
| 反作弊初始化失败 | 反作弊组件启动过程中某一步没过：权限、驱动、文件、服务 | 是否管理员运行；杀软记录 |
| 服务未运行 / 服务启动失败 | 反作弊依赖的 Windows 服务没起来 | 服务与启动项 里看该服务状态；杀软 |
| 驱动加载失败 / 驱动签名错误 | 内核驱动没能加载：被杀软拦、系统设置不满足、驱动文件损坏 | 杀软记录；msinfo32 安全启动状态；测试模式水印 |
| 文件校验失败 / 文件被修改 | 反作弊或游戏文件和预期不一致 | 杀软隔离区；验证游戏文件 |
| 检测到不兼容的软件 | 有已知冲突的程序在运行 | 提示里有没有写程序名；任务管理器进程列表 |
| 不支持的环境 / 检测到虚拟机 | 在虚拟机、远程会话或不支持的系统里 | 问用户环境 |
| 连接反作弊服务器失败 | 反作弊组件联网校验不通 | 网络、代理、防火墙 |
| 你已被移出对局 / 检测到异常 | 服务器侧判定，原因不下发 | 不排查、不判定，按流程升级 |
具体到平台的提示文字和错误码，以 反作弊（R0Guard） 为准。
被踢出与被标记
用户在对局中被反作弊踢出，或账号被标记/限制，常见原因有：
- 确实在使用外挂或宏；
- 运行了上表中的冲突软件（修改器、注入工具、宏驱动）；
- 系统环境异常（测试模式、虚拟机）；
- 外挂残留（见下一节）；
- 反作弊自身误判（存在，但比例很低，且客服无法判断）。
客服的边界：客服不判定用户是否作弊，不承诺解除标记，不解释具体检测逻辑。客服能做的是：收集环境信息（系统、安全设置、正在运行的软件、最近装过什么）、记录用户陈述，然后按 何时升级 走流程。
注意
面对"我没开挂为什么踢我"的用户，不要说"系统不会错"，也不要说"应该是误判"。两句都是判定。正确说法是："我这边看不到具体判定原因，我帮您记录并提交给相关同事核查。"沟通方式见 沟通技巧。
外挂残留
曾经装过外挂的电脑（包括二手电脑、网吧机器、朋友用过的机器），外挂可能留下驱动、服务、文件、注册表项。用户自己早就不用了，甚至根本不知道有过，但反作弊扫描到这些残留就会报。
| 残留形式 | 表现 |
|---|---|
| 残留驱动 | 反作弊启动时检测到可疑驱动，拒绝运行或踢出 |
| 残留文件 | 完整性校验不过 |
| 残留服务 / 计划任务 | 后台自动跑起来一个可疑进程 |
| 被改过的系统文件 | 系统完整性校验失败 |
判断思路：问"这台电脑是不是二手的 / 别人用过 / 以前有没有装过什么辅助"。客服不负责清理外挂残留（那是不可逆的系统级操作），收集信息后升级。
网吧环境下的特殊性
网吧机器和家用机在反作弊这件事上完全不同：
| 网吧特点 | 对反作弊的影响 |
|---|---|
| 网吧管理软件（计费、还原、监控）本身在内核层跑 | 双向冲突：管理软件可能结束反作弊进程；反作弊可能视管理软件为可疑 |
| 无盘 / 还原 | 反作弊驱动装了重启就没；每次开机都是"首次运行" |
| 受限账户，没有管理员权限 | 驱动装不上，直接初始化失败 |
| 共享镜像 | 一台机器上的残留会复制到全部机器 |
| 网吧自己预装的"游戏优化"工具 | 可能是注入类 |
网吧问题的通用处理是：确认网吧是否已经和平台合作/预装，没有的话客服能做的非常有限，见 网吧机器的特点 和 网吧场景。
怎么区分"反作弊问题"和"其他问题"
反作弊容易被当成万能背锅的：用户一遇到进不去就说"你们反作弊有问题"。用下面的方法判断：
几条经验规律：
| 现象 | 更像反作弊 | 更像别的 |
|---|---|---|
| 客户端能开，游戏起不来，有"驱动/服务"字样的提示 | 是 | |
| 客户端能开，游戏起不来，报"缺少 dll" | 运行库问题（运行库） | |
| 进对局几秒到几分钟被踢，其他人正常 | 是 | 也可能是网络掉线，看是否有"离线"标签 |
| 所有人都进不了 | 服务器问题 | |
| 游戏中随机崩溃有报错框 | 驱动、硬件、冲突软件 | |
| 杀软刚更新/刚装之后开始不行 | 是 | |
| 换了个 Windows 账户就好了 | 是（权限） | |
| 只在网吧不行、家里正常 | 是（环境） |
常见误区
- "杀软报毒 = 客户端有毒。" 加壳的反作弊组件在杀软眼里天然可疑。看拦截记录、加白名单，不要说"我们的程序不可能有毒"，也不要让用户卸杀软。
- "关了安全启动就能跑。" 方向反了。反作弊要求更安全的环境。让用户改 BIOS 是禁止操作。
- "用户说没开挂那就是误判。" 客服不判定。收集信息、记录、升级。
- "反作弊问题都要升级。" 权限、杀软拦截、测试模式、冲突软件这几类，客服完全可以自己处理。只有"被踢/被标记"和"系统安全设置"才需要升级。
- "进不去肯定是反作弊。" 报错里没有反作弊相关字样、有崩溃报错框、缺 dll，都不是反作弊。
- "网吧和家里一样处理。" 网吧没有管理员权限、有管理软件、有还原，是另一套逻辑。
对排查意味着什么
反作弊层的排查，客服能自己做的和必须升级的要分清：
| 客服自己做 | 升级 |
|---|---|
| 确认是否管理员身份运行 | 被踢出、被标记、账号限制 |
| 查杀软拦截/隔离记录，恢复文件、加白名单 | 系统安全设置（安全启动、内核隔离、TPM）相关报错 |
| 查是否有冲突软件在跑，逐个退出验证 | 外挂残留清理 |
| 查是否测试模式、Windows 版本是否太旧 | 反作弊组件本身反复崩溃、日志有 exception |
| 查服务是否在运行 | 网吧批量问题 |
| 网吧：确认权限和管理软件情况 |
升级时必带：系统版本（winver 截图）、msinfo32 的安全启动状态、杀软名称和拦截记录截图、任务管理器进程列表、客户端日志（日志怎么找、怎么读）。
对应的排查方案页：
- 客户端/游戏起不来：无法启动
- 进程消失：崩溃与卡死
- 进对局被踢：卡顿、高延迟与掉线（先排除网络）
- 网吧：网吧场景
- 平台反作弊细节：反作弊（R0Guard）
自检问题
- 反作弊为什么需要管理员权限和内核驱动？用大白话解释给用户听。
- 杀软和反作弊为什么会双向冲突？处理原则是什么？哪一步是绝对不能做的？
- 列出至少五类会和反作弊冲突的软件，并说出各自的典型表现。
- 用户桌面右下角有"测试模式"水印，这说明什么？处理方向是什么？
- 用户说"我没开挂为什么踢我"，你该说什么、不该说什么？
- 哪些反作弊问题客服可以自己处理？哪些必须升级？升级时要带什么材料？