PG游戏机制图鉴：试玩入口核验清单

试玩入口核验清单要解决的具体问题

入口核验的第一步不是判断页面像不像，而是画出到达路径。把起点、每次重定向、最终主机、嵌入框架和返回路径依次记下，再分别标出哪个节点展示品牌、哪个节点索取权限、哪个节点提供规则。若一手目录只链接到介绍页，而第三方按钮又经过两个陌生主机，目录并没有替后续节点背书。路径中任一主体无法说明，就把整条链标成未完成，不因最后页面能够加载而补成可信入口。

「入口」可能是供应商介绍页、运营页面、嵌入式演示、聚合目录、应用分发页或短链接。它们承担的角色不同，却常被一个词混称。核验第一步是给页面定角色：它发布信息、展示内容，还是收集资料；角色不清就不能继续推断主体关系。

清单重点处理三类误导。其一是相似域名与复制界面，其二是多次重定向把读者带到新主体，其三是以模拟器或试玩名义要求安装文件。清单不会确认某运营方许可资质或合法，也不评价结果；相关判断需要辖区、主体与专门证据。

检查应在输入任何资料之前完成。地址栏、页面标题、隐私说明、链接目标和权限提示都属于公开层信息；验证码、账号余额和支付页面则已经进入个人或交易层。若公开层不足以解释入口，读者没有义务用更高暴露来换取答案。

同一入口在不同地区、设备或时间可能返回不同页面，所以结论必须写清条件。一次正常访问不等于永久安全，一次失败也不证明所有用户都会遇到。记录具体路径与访问日期，比使用「永远可用」或「唯一入口」更准确。

嵌入式页面尤其容易混淆主体：外层地址可能属于信息站，实际内容由框架中的另一主机提供，按钮又跳向第三处。读者无需深入技术分析，只要记录外层名称、可见内容来源和点击后主机是否变化。三者不能对应时，就把入口角色写成不明确并停止。

入口清单还应区分「能看介绍」与「能安全学习」。介绍页可能公开且主体清楚，但启动层却遮住规则、要求权限或改变域名；前一层合格不能自动放行后一层。每进入一个新层级都重新检查地址、主体和退出，任一层失败就停止，不用前面的良好印象抵扣。

• 入口角色：信息页、内容页、嵌入框架、分发页或资料收集页。
• 完整路径：起始域名、跳转顺序、最终主体和返回能力。
• 暴露升级：账号、支付、身份、权限与下载是否突然出现。
• 结论范围：仅描述指定日期、设备、地区与公开访问条件。

先确认哪些公开事实

入口事实可以按来源分层：一手页面能证明自己当时公开的导航，浏览器能显示本次连接和跳转，页面声明能说明发布者自称身份，设备安全资料能提示常见移动风险。四层都只能回答本层问题。锁形图标代表连接受加密保护，不代表接收方就是预期主体；搜索结果靠前说明排序，不说明授权；品牌图形一致说明素材相似，不说明域名关系。检查表若把这些信号合并成一个安全勾，应拆回各自证据栏。

先取得可识别的一手参照。PG SOFT 自有主页公开其导航、公司栏目与游戏入口，这能作为该主体当前公开页面的比较起点；它不自动认证搜索结果、拼写相近域名、社交账号或第三方平台。^来源1

确认地址时读取注册域名的完整拼写，而不是只看页面中间的品牌词。注意协议、子域、路径和跳转后主机是否变化。证书锁形图标主要表示当前连接使用加密，不能证明接收方身份主张、内容准确或具有某地许可。

再看页面能否说明发布者、联系方式、隐私处理和适用地区。信息存在不代表正确，但缺失会扩大未知。联系邮箱若使用不同域名、条款主体与页脚名称不一致，应分别记下；不要把「合作」「推荐」等模糊字样解释成授权。

最后确认试玩是否真正公开。若点击后要求手机号、身份文件、支付方式或应用安装，就不是低暴露的开放演示。此时可以记录条件变化并退出，无需尝试下一步来判断是否最终收费。

公开事实还包括链接是否附带不必要的个人化参数。分享地址中的长串字符可能是活动、会话或追踪信息，报告中不应原样传播。只保存清理后的主机与必要路径，并说明参数已移除；若移除后页面无法复现，也不要公开原链接换取可复现性。

逐项核验：证据、日期与主体

执行时先复制可见网址文本并核对实际目标，再打开开发者不必掌握的普通地址栏信息，记录跳转前后主机是否改变。移动端应用内浏览器可能隐藏完整地址，应优先选择能够显示地址的常规浏览器查看公开资料；若仍看不全，就停止而非猜测。版本比较还要区分入口变动与内容变动：导航按钮改位置只说明路径调整，帮助页单位或条件改变才涉及规则。两类变化应各有时间戳，避免用新入口证明旧内容。

设想桌面端从公开目录直达规则页，移动端同一按钮却唤起应用商店或配置文件。两端差异不是便利程度问题，而是移动路径新增了安装与权限边界。记录应用名称、发布者文字和跳转时间即可，不安装来确认后续画面。若另一台手机仍停留网页，只能写观察条件不同，不能断定某台设备遭到篡改；先比较地区、浏览器、缓存和页面版本，仍无法解释就将移动入口排除。

建立跳转表，每一行写点击前页面、链接可见目标、跳转后地址、时间和是否打开新窗口。短链接要展开后再决定是否访问；无法预览或连续跨越多个无关主体时，停止。不要复制含会话参数的完整地址到公开报告，只保留去除敏感参数后的主机与路径。

移动端还要检查应用层风险。OWASP 2024 移动风险清单列出凭据使用不当、供应链安全不足、不安全认证与通信、隐私控制不足和不安全数据存储等类别；这些是审视移动入口的风险框架，并不能凭单一类别直接判定某个应用恶意。^来源2

主体核验需要双向对应：第三方声称与品牌有关，同时一手公开来源也应能支持该关系。只有单向宣传时，关系保持未核实。即使一手页面列出游戏名称，也不能外推到运营、注册、安装包或支付服务，因为这些是不同命题。

日期记录至少包含页面访问时间和可见更新日期。若来源没有发布日期，不要用当前年份补写；可表述为「访问时未见发布日期」。截图应包含足够上下文辨认栏目，但应遮去通知、书签、账号头像和任何个人标识。

证据链还要保存失败结果：目标地址无法打开、跳转循环或页面主体文字缺失，都应写明发生时间和网络环境。失败不能用来断言入口永久失效，但能说明当次无法核验。不要换到来源不明的镜像继续，因为那会把可达性问题变成新的身份风险。

重定向若因语言或地区发生，可记录前后页面的地区提示、语言和主体，不使用规避工具强行访问另一版本。不同结果可能来自合法的内容分发，也可能是主体切换，单凭跳转无法定性。需要的是当前读者实际可见路径，以及为何它不足以支撑关系结论。

常见误判与反例

常见反例是把能返回主页当成主体闭环。第三方页面完全可以链接到真实主页，同时保留自己的注册按钮；一条返回链接不能证明反向授权。另一个误判是看到证书有效就忽略拼写差异，证书只与当前主机匹配，不回答它是否属于预期发布者。若熟人转发的短链最终落到正确域名，也不能据一次结果认定短链以后都安全，因为转向规则可改变。安全做法是绕过中间链，从已知公开页重新开始。

误判一是把搜索结果首位当作一手入口。排序会受广告、地区、历史和页面优化影响，并不是身份验证。反例是同一查询在另一设备出现不同首位；因此应从已保存的一手公开页核对链接关系，而不是依赖排名。

误判二是认为页面能加载且有锁形图标就安全。加密连接降低传输被旁观的风险，但接收者仍可能是陌生主体，页面仍可能过度收集资料。技术状态只能回答连接的一部分问题，不能替代主体、内容和地区核验。

误判三是把应用商店出现或安装成功当作全面审计。移动风险涉及供应链、凭据、认证、通信、隐私和存储等多个层面，任何单一分发信号都不足以覆盖。^来源3 若应用要求关闭防护或通过私人链接更新，应直接停止。

误判四是熟人转发等于可信。发送者可能未检查跳转，账号也可能被冒用；群聊截图无法显示完整地址和后续变化。较安全做法是让信息停留在文本层，独立从一手参照开始核对，不沿转发链操作。

另一个反例是名称与视觉完全一致，却在表单阶段切换主体。复制公开素材并不困难，越到资料提交前越要重新读地址栏。前半段相似不能抵消后半段的主体变化。

二维码也不是身份捷径。它把目标地址藏在图形中，手机扫码后可能直接打开应用或重定向，读者更难预览完整域名。若无法先解析并检查目标，就不要扫描；海报上同时出现品牌与二维码，只能证明它们被排在一起，不能证明授权关系。

读者可复核的结论清单

入口档案还应回答一个反向问题：若删去所有品牌图形，仅凭域名、发布关系和跳转记录，结论是否仍成立。若必须靠标志相似才能维持判断，就说明身份链没有完成。复核时也要确认截图没有裁掉地址栏、跳转提示或嵌入边框；这些边缘信息往往比页面中央的宣传语更能说明主体变化。无法保留完整上下文时，宁可只写看见某页面，不写它属于谁。

完成后应留下可由他人复核的入口档案：起始公开页、完整目标主机、重定向顺序、查看日期、所见主体说明、是否出现嵌入、下载、注册或额外权限，以及最终停止点。结论只可写某路径在某时刻通往何处，不能扩大为永久安全或地区合法。若档案缺少中间节点，就保留缺口；复核者不应点击未知链接补齐。入口后来改变时另建一次记录，与旧路径并列，不能悄悄覆盖风险历史。

完成检查后，应能画出从起点到终点的简短路径，并为每个主体说明证据来源。路径若有空白，不用猜测补齐；写明在哪一步无法确认，以及为什么没有继续。这样的记录比只写「可用」或「打不开」更容易复查。

把结论分成可达性、主体关系、资料要求和技术风险四栏。页面可达只说明当时能打开；主体关系需要双向来源；资料要求取自提交前所见；技术风险则说明观察限制。四栏不得互相代替，也不得合并成官方或合法结论。

若需要继续研究，可阅读试玩心得记录模板统一字段，或用 RTP 术语页避免把入口问题混成结果问题。对于模拟器字样，还应确认它是网页演示、交互说明还是安装软件；没有明确说明时，不下载也不尝试运行。

复查清单必须包含安全退出：标签页能否关闭、系统权限是否撤销、下载是否未打开、个人资料是否从未提交。具名事实核查与安全编辑在发布前还需确认报告没有保留会话地址或私人截图，并核对来源日期。

可复核并不要求别人再次点击所有链接。记录应让复核者先在离线状态看懂路径、风险点与停止原因；只有一手公开页面仍可安全访问时，才做最小确认。若复核必须依赖过期短链、私人消息或已删除应用，结论应降为历史观察而非当前入口。

结论清单最后加一个反向检查：删去所有品牌图标后，剩余证据是否仍能说明主体；删去锁形图标后，是否还有发布关系；删去熟人推荐后，是否仍有可定位的一手路径。任何一问依赖视觉或信任暗示，就把关系状态退回未核实，并确保报告不提供该入口的继续使用路径。

复核若发现起点本身来自广告、短链或私人转发，应回到可辨识的一手公开页重新建立路径；找不到一手起点时，整条链保持未核实。不要只替换最后一个可疑链接而保留未经确认的前提。

• 起始参照和每次跳转均有主体与访问日期。
• 没有以锁形图标、搜索排序、商店出现或熟人转发证明身份。
• 一手目录只用于其明确发布内容，不扩展到第三方注册与分发。
• 所有未知安装、无关权限和敏感资料要求均触发退出。
• 结论不使用唯一、官方、许可资质、合法、安全保证或结果承诺。