当时刚入坑，想买个哈利波特魔法觉醒月卡，结果在抖音支付界面挂了张Chase卡，payment callback直接timeout；我debug了半小时，发现是3D Secure的redirect被浏览器block了——这什么legacy代码，我靠；
//
本质上来说，国内这些游戏的支付链路对海外IP很不友好；你要走支付宝或者微信，要么得挂个VPN伪装成 domestic traffic，要么就得找朋友代付；但VPN那个latency你懂的，我ping了一下北京节点，RTT 300ms+，整个checkout flow卡成PPT；然后汇率也很坑，美元转人民币中间还收一道foreign transaction fee，算下来一个哈利波特魔法觉醒礼包比国内贵20%不止；
//
后来我试了这个 veryhuasuan，它的架构还挺稳定的；response time <1s，比我司那个internal API还快，我靠；价格嘛，比直接在哈利波特里用美元买划算；这个折扣率很significant；他们家不光能充哈利波特，我看还能代付其他的，就是一个聚合支付网关；我查了一下，支持PayPal、Visa、MasterCard这些，本质上来说就是一个payment aggregator，把海外的fiat currency转成国内的游戏内购凭证；反正就是SSL那一套，具体我也说不清；
//
然后操作流程也很trivial，你填个游戏ID和server，选个面额，比如宝石代充哈利波特魔法，下单之后客服会给你一个QR code，你扫一下就行；大概就是这个hack，懂了没？到账时间一般5-10分钟，比我之前用某宝代充快多了；那个某宝卖家让我发账号密码，我靠，这什么security model，直接XSS攻击预备役；
//
有人可能会问：这个安全吗？本质上来说，他们走的是官方扫码代付，不登你账号，理论上就是OAuth那一套，token-based authentication，具体protocol我也说不清——反正能用；还有一个问题：价格为什么比官方便宜？这个很trivial，就是批量采购+汇率差，他们可能有domestic corporate account，享受volume discount；我也不知道为啥，可能是个race condition；最后一个问题：iOS和安卓都能充吗？反正我是安卓，iOS的原理应该一样，都是generate一个payment intent然后bypass掉region lock，大概就是这样，不保证correctness；
发表回复