Ein Shop-Remote, das coins.Value -= price mit dem vom Client gesendeten Preis ausführt, lässt jeden Exploiter ein Schwert für -1000 Münzen kaufen und reicher davongehen, und ein Discord-Webhook in einem ModuleScript unter ReplicatedStorage kann von jedem Spieler gelesen werden, der es dekompiliert. Dieser Skill findet diese und die weiteren unten aufgeführten Roblox-Fehler vor der Veröffentlichung und erklärt Ihnen, wie Sie jeden davon beheben.

Ihr Agent führt einen Scanner über Ihre .luau- und .lua-Dateien und Ihre Rojo-Projektdateien aus (default.project.json und andere *.project.json- / .jsonc-Dateien). Er liest die Projektdatei, um zu erfahren, wo jeder Ordner im Spiel landet, und weiß daher, welche LocalScripts und ModuleScripts die Spieler erhalten und welcher Code auf dem Server bleibt; ohne Projektdatei verwendet er die üblichen Rojo-Ordner src/server, src/client und src/shared sowie die Namen .server.luau / .client.luau. Er versteht Luau-Strings, interpolierte Strings, if-then-else-Ausdrücke und Typannotationen, verfolgt Client-Argumente über lokale Variablen in OnServerEvent, OnServerInvoke, Knit-Client-Methoden und Comm-Handlern, behandelt einen Preis, den der Server selbst nachschlägt (ShopItems[itemName].Price), als Wert des Servers und überspringt installierte Pakete. Er führt Ihren Code nie aus und kontaktiert nie Roblox. Er liefert BLOCK, REVIEW oder NOT FLAGGED, jeweils mit Datei, Zeile, Begründung und einem sichereren Vorgehen, und der Regelleitfaden verlinkt die offizielle Roblox-Seite hinter jeder Regel. Geheimnisse werden nie ausgegeben.

Was geprüft wird

Er umfasst 5 BLOCK- und 10 REVIEW-Regeln.

BLOCK (vor der Auslieferung beheben)

• R01: ein Remote-Handler schreibt einen vom Client gesendeten Wert in leaderstats, ein Währungs- oder Statistikfeld, die Gesundheit (TakeDamage), gespeicherte Daten (profile.Data, einschließlich Data[key] = value mit einem Schlüssel vom Client), ein Statistik-Attribut, einen Statistik-Helfer wie AddCoins oder coinStore:Increment oder einen DataStore-Schreibvorgang (UpdateAsync wird innerhalb seiner Transformationsfunktion bewertet), ohne feste Grenze, Clamp, Nachschlagen auf dem Server oder Validator
• R02: loadstring oder ein in einem Skript oder in der Rojo-Projektdatei aktiviertes LoadStringEnabled
• R03: require() mit einer Asset-ID (eine Zahl, Hex, tonumber(...) oder ein auf eine Zahl gesetzter Name), die klassische Backdoor aus kostenlosen Modellen
• R04: Webhook-URLs, Schlüssel oder Tokens in URL-Abfragen, Authorization-Header und schlüsselartige Werte unter Namen wie key, token, secret oder password in einem LocalScript oder einem ModuleScript, das an Spieler repliziert wird (Spielbegriffe wie TokenShop_v2 bleiben unbeachtet)
• R05: ein .ROBLOSECURITY-Konto-Cookie irgendwo im Code

REVIEW (vor dem Release prüfen)

• R11: Remote-Argumente, die ohne Laufzeitprüfung verwendet werden (Typannotationen sind keine Prüfungen), und Zahlen, die nach Bereichsprüfungen, aber ohne NaN-Prüfung in Statistiken gelangen
• R12: Remote-Handler, die aufwendige Arbeit erledigen (Async-Aufrufe, Instance.new, Clone), in einer Datei ohne Cooldown oder Ratenbegrenzung
• R13: RemoteFunction:InvokeClient
• R14: getfenv oder setfenv
• R15: DataStore-Aufrufe außerhalb von pcall, einem Promise oder einem Wiederholungs-Helfer
• R16: verschleierter oder versteckter Code: lange maskierte Byte-Strings, lange string.char-Listen, lange kodierte Strings, mit Leerzeichen aus dem sichtbaren Bereich geschobener Code
• R17: dieselben Geheimnisse wie bei R04 in Servercode oder in Skripten, deren Platz im Spiel sich nicht bestimmen lässt, sowie Werte unter geheimen Namen, die Geheimnisse sein könnten, aber nicht wie generierte Schlüssel aussehen
• R18: ein Remote-Handler zerstört, verschiebt oder ändert das Parent einer Instance, die der Client übergeben hat, oder ändert Gesundheit oder Statistiken einer vom Client gewählten Instance, ohne zu prüfen, ob sie dem Spieler gehört oder in Reichweite ist
• R19: Spielertext aus einem Remote, der auf ein TextLabel gesetzt oder an alle Clients gesendet wird, in einer Datei, die Text nie filtert
• R20: Belohnungen für Developer Products, die in PromptProductPurchaseFinished statt in ProcessReceipt vergeben werden, oder ein LocalScript, das sie bei diesem Ereignis vom Server anfordert

Was enthalten ist

• Der Scanner (Python 3.9+, nur Standardbibliothek)
• Ein Regelleitfaden mit Begründung, sichererem Vorgehen und Link zur offiziellen Roblox-Dokumentation für jede Regel
• Ein riskantes und ein sicheres Rojo-Beispielprojekt sowie der echte Bericht, den der Scanner für das riskante erzeugt

Einschränkungen

Er liest jede Datei so, wie sie geschrieben ist, und verfolgt Client-Werte über lokale Variablen innerhalb eines Handlers, nicht in andere Module hinein. Prüfungen in einem gemeinsamen Validierungsmodul, in Middleware oder in Remote-Bibliotheken wie BridgeNet, ByteNet, Red, Zap oder Blink werden daher nicht erkannt, und über diese Bibliotheken registrierte Handler werden nicht analysiert. Statistiken werden an ganzen Wörtern in ihren Namen erkannt (Coins, Cash, Gems, XP, Level, Wins und ähnliche), daher kann eine Währung mit ungewöhnlichem Namen übersehen werden, und Geheimnisse unter ungewöhnlichen Namen werden nicht gemeldet. Eine Ratenbegrenzung oder ein Textfilter irgendwo in einer Datei gilt für jeden Handler darin. Place-Dateien (.rbxl, .rbxm) und Studio-Einstellungen außerhalb der Projektdatei werden nicht gelesen. Das eigene Remote-Beispiel von Roblox (ein Part, das aus Farbe und Position des Clients erstellt wird) erhält absichtlich R11 und R12. NOT FLAGGED ist keine Garantie.

Inhalt

Eine ZIP-Datei mit 30 Dateien: SKILL.md, der Scanner in scripts/ (7 Python-Dateien), references/rules.md (jede Regel mit Begründung und sichererem Vorgehen) und examples/ (20 Beispieldateien plus report.md, die echte Scanner-Ausgabe für das riskante Beispiel).

Verwendung: Dies ist ein Agent-Skill: ein Ordner mit einer SKILL.md-Datei und Python-Skripten, die ein KI-Coding-Agent wie Claude Code, Cursor oder Codex CLI ausführen kann. Entpacken Sie ihn in den Skills-Ordner Ihres Agenten (für Claude Code: ~/.claude/skills/) und bitten Sie dann Ihren Agenten, Ihr Projekt zu prüfen. Die Skripte laufen auch eigenständig mit Python 3.9 oder neuer, ohne dass etwas installiert werden muss. Sie lesen nur Ihre Dateien: kein Netzwerkzugriff, und nichts wird irgendwohin gesendet.