Клиент и сервер в Roblox: RemoteEvent без дыр

Каждая игра в Roblox работает в двух местах сразу. Сервер — общий для всех, он хранит настоящее состояние мира. Клиент — копия у каждого игрока, она рисует картинку и принимает нажатия. Между ними идёт постоянный обмен, и вся безопасность игры сводится к одному вопросу: что из происходящего решает сервер, а что — чужой компьютер.

Кто где живёт#

Как выглядит дырявый код#

Самая частая ошибка новичка — считать награду на клиенте и присылать серверу готовую цифру. Выглядит логично, работает мгновенно и ломается за минуту.

-- LocalScript
local event = game.ReplicatedStorage.GiveCoins

button.Activated:Connect(function()
    event:FireServer(10) -- клиент сам решил, сколько ему монет
end)

-- Script на сервере
event.OnServerEvent:Connect(function(player, amount)
    player.leaderstats.Coins.Value += amount -- сервер поверил на слово
end)

Здесь сервер не проверяет ничего: ни величину, ни тип, ни частоту вызовов. Вместо десятки прилетит миллион, вместо числа — строка, а вместо одного нажатия — тысяча за секунду. Экономика игры кончается в тот же вечер.

Как выглядит правильный#

Правило одно: клиент сообщает о намерении, сервер решает, что из этого следует. Награду считает сервер, из своих данных.

-- LocalScript: только факт нажатия, без чисел
local event = game.ReplicatedStorage.ClaimReward

button.Activated:Connect(function()
    event:FireServer()
end)

-- Script на сервере
local Players = game:GetService("Players")
local REWARD = 10
local COOLDOWN = 5

local lastClaim = {}

event.OnServerEvent:Connect(function(player)
    local now = os.clock()

    -- 1. Защита от спама: не чаще раза в пять секунд.
    if lastClaim[player] and now - lastClaim[player] < COOLDOWN then
        return
    end

    -- 2. Проверка состояния: награда вообще положена?
    local stats = player:FindFirstChild("leaderstats")
    if stats == nil then
        return
    end

    lastClaim[player] = now
    stats.Coins.Value += REWARD -- величину знает только сервер
end)

Players.PlayerRemoving:Connect(function(player)
    lastClaim[player] = nil
end)

Четыре проверки, которые нужны почти всегда#

1. Тип и величина. Пришло не число или число вне допустимых границ — выходи молча, не пытайся исправить
2. Частота. Таблица с временем последнего вызова на игрока закрывает большинство автоматических атак
3. Право. Действительно ли этот игрок владеет предметом, находится в нужной зоне, прошёл нужный этап
4. Расстояние. Клик по объекту в двухстах метрах — не клик: сравни позицию персонажа с позицией цели

local MAX_DISTANCE = 15

event.OnServerEvent:Connect(function(player, target)
    -- Тип: клиент мог прислать что угодно, включая nil и строку.
    if typeof(target) ~= "Instance" or not target:IsA("BasePart") then
        return
    end

    local character = player.Character
    local root = character and character:FindFirstChild("HumanoidRootPart")
    if root == nil then
        return
    end

    -- Расстояние: до цели должно быть реально дотянуться.
    if (root.Position - target.Position).Magnitude > MAX_DISTANCE then
        return
    end

    -- Только теперь действие.
end)

Что менять на клиенте не жалко#

Строгость нужна там, где меняется общее состояние. Всё остальное разумно оставить клиенту: так игра ощущается отзывчивой, и сервер не тратит время на мелочи.

Отдельный случай — движение персонажа. Его в Roblox считает клиент, иначе управление было бы вязким. Поэтому скорость и полёт проверяют не запретом, а наблюдением: сервер смотрит, насколько далеко персонаж переместился за отрезок времени, и реагирует на явно невозможные значения.

RemoteFunction: когда нужен ответ#

RemoteFunction отличается тем, что ждёт результат. Клиент спрашивает — сервер отвечает, и код на клиенте стоит на паузе, пока ответ не придёт. Это удобно для запроса данных, но у него есть подвох.

-- Script на сервере
local request = game.ReplicatedStorage.GetProfile

request.OnServerInvoke = function(player)
    local data = profiles[player]
    if data == nil then
        return nil
    end

    -- Отдаём только то, что клиенту положено видеть.
    return { coins = data.coins, level = data.level }
end

-- LocalScript
local profile = request:InvokeServer()
if profile then
    label.Text = ("Монет: %d"):format(profile.coins)
end

Мелочи, которые ловят на практике#

• Всё, что лежит в ReplicatedStorage, видно игроку — не храни там ответы на загадки и списки редких наград
• Один RemoteEvent на действие понятнее, чем один общий с параметром «что делать»
• Не отправляй событие каждый кадр: собери изменения и пришли пачкой
• Ошибку валидации логируй через warn, но игроку не показывай — подсказка помогает подбирать аргументы
• FireAllClients с большой таблицей на полном сервере — заметная нагрузка на сеть
• Проверяй, что player.Character вообще существует: между смертью и возрождением его нет

Когда граница между клиентом и сервером выстроена, следующий шаг — сохранить то, что сервер насчитал: «DataStore: как сохранить прогресс игрока». Разбор сообщений из Output собран в гайде про ошибки Luau, а весь курс и справочник — в разделе Studio.