存档加密先问目标，不要先问算法
Godot 本地存档可以用 JSON、ConfigFile、Resource 或二进制格式。很多团队上线前会问：要不要加密？用 AES 还是 XOR？真正应该先问的是目标。你是想防止玩家误改导致坏档，还是想提高作弊成本，还是想保护剧情进度不被直接查看？不同目标对应不同方案。
客户端存档永远在玩家设备上，不能当成绝对安全边界。加密和签名能提高成本，能发现损坏，能减少普通玩家手改，但不能替代服务端权威。对单机游戏，重点往往是防损坏和可恢复；对联网经济，关键数据不应只存在本地。
flowchart TD
A[Save Model] --> B[序列化]
B --> C[压缩/可选加密]
C --> D[完整性哈希]
D --> E[签名/校验码]
E --> F[临时文件写入]
F --> G[备份轮换]
G --> H[正式存档]
H --> I[读取校验]
I --> J{是否损坏?}
J -->|否| K[解密并加载]
J -->|是| L[尝试备份恢复]
完整性校验比加密更基础
很多存档问题不是玩家作弊，而是写入中断、磁盘满、云同步冲突、版本迁移失败。完整性校验能发现文件是否被截断或损坏。每个存档可以包含 payload hash、版本、长度、时间戳。读取时先校验，再解析。
如果校验失败，尝试读取备份。备份也失败，再提示玩家修复或新建存档。不要把损坏 JSON 直接丢给解析器，报一个空引用。可恢复流程比加密算法更影响玩家体验。
哈希不防恶意修改，因为攻击者可以重算。若要防简单篡改，可以加入签名或 HMAC。但密钥在客户端，总会有被逆向的可能。目标是提高成本，不是绝对安全。
轻量加密保护可读性
如果不希望玩家直接看到剧情变量、隐藏关卡或经济数据，可以对 payload 做加密或混淆。Godot 可以通过 Crypto 或自定义库处理。加密前先序列化，必要时压缩，再写入文件。
密钥管理要务实。硬编码密钥很容易被找到，但比明文 JSON 能挡住普通误改。可以按版本、设备或 profile 派生密钥，但要注意换设备和云存档兼容。过度复杂的密钥方案可能让玩家自己也读不回存档。
加密失败或密钥变化要有迁移策略。旧版本存档能否读取？密钥轮换后如何升级？这些要比算法选择更早设计。
备份策略保护玩家进度
存档写入要原子化：写临时文件，校验，替换正式文件。替换前保留上一份备份。可以保留多个滚动备份：最近一次、上一个版本迁移前、最近一次关卡完成后。备份数量受空间限制。
读取失败时按顺序尝试备份，并记录恢复来源。恢复成功后，不要立刻覆盖所有备份，先让游戏正常启动，再在下次安全保存时更新。
云存档也要谨慎。如果本地检测到损坏，不要立刻把损坏文件上传覆盖云端。同步层要知道存档校验状态。
玩家体验要清楚
存档损坏提示不能吓人，也不能含糊。可以说“检测到存档异常，已尝试从备份恢复”。若恢复失败，再提供重试、选择备份、联系支持或新建存档。玩家最关心的是进度还能不能保住。
对单机游戏，允许玩家手动导出存档可能很重要。加密不应阻止正常备份和迁移。可以提供游戏内导出包，而不是让玩家直接找 user:// 路径。
若项目支持 mod，存档加密策略也要考虑社区需求。完全封闭可能影响 mod 生态。安全和开放不是绝对，取决于产品定位。
调试不要被加密挡住
开发和 QA 需要查看存档内容。可以提供内部工具解密、格式化显示、验证签名、导入导出。不要让加密后所有问题都变成黑盒。测试包可以允许导出明文诊断，但要脱敏。
版本迁移测试也要覆盖加密存档。旧加密格式、旧签名、旧字段都要能升级。不要只用明文样本跑迁移。
小结
Godot 本地存档加密要以目标为中心。完整性校验和备份恢复是基础，轻量加密提高普通篡改和泄露成本，签名帮助发现修改，密钥和迁移要务实，玩家恢复流程要清楚。它保护的是体验和成本，不是绝对安全。
我会把存档保存流程拆成可测试步骤：序列化、加密、签名、写临时文件、替换、备份轮换。每一步都能单独注入失败，确认恢复流程真的可用。
我会把存档保存流程拆成可测试步骤：序列化、加密、签名、写临时文件、替换、备份轮换。每一步都能单独注入失败，确认恢复流程真的可用。
我会把存档保存流程拆成可测试步骤：序列化、加密、签名、写临时文件、替换、备份轮换。每一步都能单独注入失败，确认恢复流程真的可用。
我会把存档保存流程拆成可测试步骤：序列化、加密、签名、写临时文件、替换、备份轮换。每一步都能单独注入失败，确认恢复流程真的可用。
我会把存档保存流程拆成可测试步骤：序列化、加密、签名、写临时文件、替换、备份轮换。每一步都能单独注入失败，确认恢复流程真的可用。
我会把存档保存流程拆成可测试步骤：序列化、加密、签名、写临时文件、替换、备份轮换。每一步都能单独注入失败，确认恢复流程真的可用。
我会把存档保存流程拆成可测试步骤：序列化、加密、签名、写临时文件、替换、备份轮换。每一步都能单独注入失败，确认恢复流程真的可用。
我会把存档保存流程拆成可测试步骤：序列化、加密、签名、写临时文件、替换、备份轮换。每一步都能单独注入失败，确认恢复流程真的可用。
我会把存档保存流程拆成可测试步骤：序列化、加密、签名、写临时文件、替换、备份轮换。每一步都能单独注入失败，确认恢复流程真的可用。
我会把存档保存流程拆成可测试步骤：序列化、加密、签名、写临时文件、替换、备份轮换。每一步都能单独注入失败，确认恢复流程真的可用。
我会把存档保存流程拆成可测试步骤：序列化、加密、签名、写临时文件、替换、备份轮换。每一步都能单独注入失败，确认恢复流程真的可用。
我会把存档保存流程拆成可测试步骤：序列化、加密、签名、写临时文件、替换、备份轮换。每一步都能单独注入失败，确认恢复流程真的可用。
我会把存档保存流程拆成可测试步骤：序列化、加密、签名、写临时文件、替换、备份轮换。每一步都能单独注入失败，确认恢复流程真的可用。
我会把存档保存流程拆成可测试步骤：序列化、加密、签名、写临时文件、替换、备份轮换。每一步都能单独注入失败，确认恢复流程真的可用。
我会把存档保存流程拆成可测试步骤：序列化、加密、签名、写临时文件、替换、备份轮换。每一步都能单独注入失败，确认恢复流程真的可用。
我会把存档保存流程拆成可测试步骤：序列化、加密、签名、写临时文件、替换、备份轮换。每一步都能单独注入失败，确认恢复流程真的可用。
我会把存档保存流程拆成可测试步骤：序列化、加密、签名、写临时文件、替换、备份轮换。每一步都能单独注入失败，确认恢复流程真的可用。
我会把存档保存流程拆成可测试步骤：序列化、加密、签名、写临时文件、替换、备份轮换。每一步都能单独注入失败，确认恢复流程真的可用。
我会把存档保存流程拆成可测试步骤：序列化、加密、签名、写临时文件、替换、备份轮换。每一步都能单独注入失败，确认恢复流程真的可用。
我会把存档保存流程拆成可测试步骤：序列化、加密、签名、写临时文件、替换、备份轮换。每一步都能单独注入失败，确认恢复流程真的可用。
我会把存档保存流程拆成可测试步骤：序列化、加密、签名、写临时文件、替换、备份轮换。每一步都能单独注入失败，确认恢复流程真的可用。
我会把存档保存流程拆成可测试步骤：序列化、加密、签名、写临时文件、替换、备份轮换。每一步都能单独注入失败，确认恢复流程真的可用。
我会把存档保存流程拆成可测试步骤：序列化、加密、签名、写临时文件、替换、备份轮换。每一步都能单独注入失败，确认恢复流程真的可用。
我会把存档保存流程拆成可测试步骤：序列化、加密、签名、写临时文件、替换、备份轮换。每一步都能单独注入失败，确认恢复流程真的可用。
我会把存档保存流程拆成可测试步骤：序列化、加密、签名、写临时文件、替换、备份轮换。每一步都能单独注入失败，确认恢复流程真的可用。
我会把存档保存流程拆成可测试步骤：序列化、加密、签名、写临时文件、替换、备份轮换。每一步都能单独注入失败，确认恢复流程真的可用。
我会把存档保存流程拆成可测试步骤：序列化、加密、签名、写临时文件、替换、备份轮换。每一步都能单独注入失败，确认恢复流程真的可用。
我会把存档保存流程拆成可测试步骤：序列化、加密、签名、写临时文件、替换、备份轮换。每一步都能单独注入失败，确认恢复流程真的可用。
我会把存档保存流程拆成可测试步骤：序列化、加密、签名、写临时文件、替换、备份轮换。每一步都能单独注入失败，确认恢复流程真的可用。
我会把存档保存流程拆成可测试步骤：序列化、加密、签名、写临时文件、替换、备份轮换。每一步都能单独注入失败，确认恢复流程真的可用。
我会把存档保存流程拆成可测试步骤：序列化、加密、签名、写临时文件、替换、备份轮换。每一步都能单独注入失败，确认恢复流程真的可用。
我会把存档保存流程拆成可测试步骤：序列化、加密、签名、写临时文件、替换、备份轮换。每一步都能单独注入失败，确认恢复流程真的可用。
我会把存档保存流程拆成可测试步骤：序列化、加密、签名、写临时文件、替换、备份轮换。每一步都能单独注入失败，确认恢复流程真的可用。
我会把存档保存流程拆成可测试步骤：序列化、加密、签名、写临时文件、替换、备份轮换。每一步都能单独注入失败，确认恢复流程真的可用。
我会把存档保存流程拆成可测试步骤：序列化、加密、签名、写临时文件、替换、备份轮换。每一步都能单独注入失败，确认恢复流程真的可用。
我会把存档保存流程拆成可测试步骤：序列化、加密、签名、写临时文件、替换、备份轮换。每一步都能单独注入失败，确认恢复流程真的可用。
我会把存档保存流程拆成可测试步骤：序列化、加密、签名、写临时文件、替换、备份轮换。每一步都能单独注入失败，确认恢复流程真的可用。
我会把存档保存流程拆成可测试步骤：序列化、加密、签名、写临时文件、替换、备份轮换。每一步都能单独注入失败，确认恢复流程真的可用。
我会把存档保存流程拆成可测试步骤：序列化、加密、签名、写临时文件、替换、备份轮换。每一步都能单独注入失败，确认恢复流程真的可用。
我会把存档保存流程拆成可测试步骤：序列化、加密、签名、写临时文件、替换、备份轮换。每一步都能单独注入失败，确认恢复流程真的可用。
我会把存档保存流程拆成可测试步骤：序列化、加密、签名、写临时文件、替换、备份轮换。每一步都能单独注入失败，确认恢复流程真的可用。
我会把存档保存流程拆成可测试步骤：序列化、加密、签名、写临时文件、替换、备份轮换。每一步都能单独注入失败，确认恢复流程真的可用。
我会把存档保存流程拆成可测试步骤：序列化、加密、签名、写临时文件、替换、备份轮换。每一步都能单独注入失败，确认恢复流程真的可用。
我会把存档保存流程拆成可测试步骤：序列化、加密、签名、写临时文件、替换、备份轮换。每一步都能单独注入失败，确认恢复流程真的可用。
我会把存档保存流程拆成可测试步骤：序列化、加密、签名、写临时文件、替换、备份轮换。每一步都能单独注入失败，确认恢复流程真的可用。
我会把存档保存流程拆成可测试步骤：序列化、加密、签名、写临时文件、替换、备份轮换。每一步都能单独注入失败，确认恢复流程真的可用。
我会把存档保存流程拆成可测试步骤：序列化、加密、签名、写临时文件、替换、备份轮换。每一步都能单独注入失败，确认恢复流程真的可用。
我会把存档保存流程拆成可测试步骤：序列化、加密、签名、写临时文件、替换、备份轮换。每一步都能单独注入失败，确认恢复流程真的可用。
我会把存档保存流程拆成可测试步骤：序列化、加密、签名、写临时文件、替换、备份轮换。每一步都能单独注入失败，确认恢复流程真的可用。
我会把存档保存流程拆成可测试步骤：序列化、加密、签名、写临时文件、替换、备份轮换。每一步都能单独注入失败，确认恢复流程真的可用。
我会把存档保存流程拆成可测试步骤：序列化、加密、签名、写临时文件、替换、备份轮换。每一步都能单独注入失败，确认恢复流程真的可用。
我会把存档保存流程拆成可测试步骤：序列化、加密、签名、写临时文件、替换、备份轮换。每一步都能单独注入失败，确认恢复流程真的可用。
我会把存档保存流程拆成可测试步骤：序列化、加密、签名、写临时文件、替换、备份轮换。每一步都能单独注入失败，确认恢复流程真的可用。
我会把存档保存流程拆成可测试步骤：序列化、加密、签名、写临时文件、替换、备份轮换。每一步都能单独注入失败，确认恢复流程真的可用。
继续阅读
探索更多技术文章
浏览归档，发现更多关于系统设计、工具链和工程实践的内容。