游戏工作室防多开，真正的难点从来不是"同一个设备登了两次"，那可能是玩家换了模拟器或者家人共用路由。工作室的核心破绽是：一批账号虽各自独立，但它们背后的网络源高度聚集：共享同一个出口IP、落在同一个数据中心段、甚至归属于同一个ASN。这种聚集性靠设备指纹防不住（工作室改IMEI/指纹是基本功），但靠IP层画像能抓出来。
一、为什么设备指纹不够，得看IP聚集性？
工作室养号的典型网络特征，用IP离线库的画像维度可以逐一拆解：
| 表面现象 | 背后网络现实 | IP离线库能抓到的维度 |
|---|---|---|
| 账号A/B/C设备信息全"干净" | 三者在日志里的源IP相同/相邻（同一宽带或同一机房出口） | subnet聚合 |
| 账号分散在不同IP | 但这些IP全是数据中心段/ASN相同（云主机养号农场） | is_datacenter、asn |
| IP不断变换 | 实质是走代理/VPN池轮换出口，但ASN/网段模式仍有规律 | is_proxy、asn |
一句话：工作室花很大力气掩盖"设备是谁"，但很难掩盖"出口在哪"，而IP离线库的画像能力恰好能覆盖这一层。通过IP离线库查询每个源IP的归属地、ASN、是否数据中心、是否代理出口，就能在源头把"假分散"识别出来。
二、三步识别：用IP离线库做聚合→画像→聚类判定
第一步：从登录日志提取"源IP→账号"关系
从登录日志中提取源IP和账号ID的关联关系，按源IP聚合统计短时关联的账号数量。这一步是所有后续分析的数据基础：
-- 拉近1小时登录流水，按源IP聚合关联的账号数
SELECT src_ip, COUNT(DISTINCT uid) AS uids_cnt
FROM login_log
WHERE ts >= UNIX_TIMESTAMP() - 3600
GROUP BY src_ip
HAVING uids_cnt >= 5; -- 同一IP短时关联≥5个号，初步可疑
输出物：src_ip → [uid列表] 候选清单，供第二步用IP离线库做画像。
第二步：用IP离线库给每个源IP打标签
这一步回答"这个IP像不像工作室出口"。调用IP数据云离线库获取IP的风险维度信息——包括是否数据中心、ASN归属、是否代理/VPN等：
import ipdatacloud
# IP离线库由服务启动时加载至内存，查询为毫秒级本地响应
# 参数阈值可根据实际业务调整
MAX_UIDS_PER_IP = 5 # 同一IP短时关联账号阈值
MAX_UIDS_PER_SUBNET = 20 # 同一/C24短时关联账号阈值
MAX_UIDS_PER_ASN = 50 # 同一ASN短时关联账号阈值（数据中心农场）
PROXY_RISK_WEIGHT = 2 # 代理IP额外加权
def evaluate_ip_cluster(src_ip: str, uid_cnt: int) -> dict:
# 调用IP离线库查询该IP的画像标签
tag = ipdatacloud.query(src_ip)
# ① 聚合到/C24，用于"同一网段"判定
subnet = '.'.join(src_ip.split('.')[:3]) + '.0/24'
risk = 0
reasons = [ ]
# ② IP离线库标签：数据中心/云主机段（农场最典型）
if tag.get('is_datacenter'):
risk += 60
reasons.append("数据中心段")
# ③ IP离线库标签：ASN聚集（不同IP但同ASN，说明可能同源）
asn = tag.get('asn')
if asn:
reasons.append(f"ASN={asn}({tag.get('isp','?')})")
# ④ IP离线库标签：代理/VPN出口
if tag.get('is_proxy') or tag.get('is_vpn'):
risk += int(PROXY_RISK_WEIGHT * 30)
reasons.append("代理/VPN出口")
# ⑤ 账号聚集阈值判定（可按IP/子网/ASN三层分别计数）
if uid_cnt >= MAX_UIDS_PER_IP:
risk += 30
reasons.append(f"同IP关联账号={uid_cnt}≥{MAX_UIDS_PER_IP}")
action = "pass"
if risk >= 80:
action = "block"
elif risk >= 50:
action = "captcha_hard+manual_review"
return {
"ip": src_ip,
"subnet": subnet,
"asn": asn,
"uid_cnt": uid_cnt,
"risk": risk,
"reasons": reasons,
"action": action,
}
关键点：is_datacenter、asn、is_proxy、isp等字段均来自IP离线库，无需额外维护规则库。
第三步：子网/ASN层再聚类，二次判定
工作室常把号分散到十几个临近IP规避"单IP账号数阈值"，所以需要再聚合一层——按网段或ASN做二次判定。这一步仍然依赖IP离线库提供的subnet和asn字段作为分组依据：
from collections import defaultdict
subnet_map = defaultdict(list)
for r in results:
subnet_map[r['subnet']].append(r)
for subnet, items in subnet_map.items():
total_uids = sum(i['uid_cnt'] for i in items)
if total_uids >= MAX_UIDS_PER_SUBNET:
# 整段标为工作室网段，批量处置
take_action(subnet_items, reason=f"同网段{subnet}关联账号={total_uids}")
到这里，IP离线库的角色闭环了：它提供了"这是不是数据中心/属于哪个ASN/是不是代理出口"的证据链，你用这些证据做聚类阈值，决定拦截、验证还是人工复核。
三、执行层怎么落地
| 处置动作 | 典型落地 | IP离线库给了你什么依据 |
|---|---|---|
| 直接拦截 | 登录网关按src_ip短暂封禁 | 原因是"数据中心段+账号聚集" |
| 强人机验证 | 弹滑块/短信验证 | 原因是"代理出口+可疑" |
| 人工复核 | 拉出subnet/ASN下全部uid走行为回溯 | 有IP维度可追踪，减少误封 |
| 白名单兜底 | 公司办公网/已知IDC出口加白 | asn字段帮你快速建白名单 |
四、总结
工作室多开，难以防范的是"多设备真玩家"，但能防的是"假分散真同源"——只要它们共享出口段、走数据中心农场、或代理池轮换，IP离线库在源头上就能抓到证据。通过IP数据云离线库提供的归属地、ASN、is_datacenter、isp、is_proxy等标准化标签，这套识别方案不依赖外网API、不泄露玩家隐私、毫秒级本地完成，是游戏反作弊链路中稳定、可审计的源头验证环节。
