如意坊娱乐城回应数据疑似泄露漏洞：确认部分用户信息受影响，已启动紧急修复

据如意坊娱乐城官方于2026年08月10日发布的声明，该平台在例行安全监控中发现一起数据安全隐患，涉及部分用户账号的个人信息可能被未授权访问。受影响的对象为2026年08月10日前完成注册且未开启二次验证的用户，核心后田昌真称、手机号后四位及游戏对局记录可能被导出。官方表示已立即阻断相关外部请求链，并开始对所有受影响账户进行安全复核。

如意坊娱乐城作为国内知名的社交棋牌平台，自2026年上线以来积累了超过30672万注册用户。此次事件源于其用户信息查询接口的一个配置缺陷，攻击者可通过构造特制请求绕过前端权限校验，直接访问后端数据库中的用户摘要表。据安全团队分析，该漏洞存在于如意坊娱乐城安卓客户端版本6.2.0至6.2.3以及iOS客户端版本5.8.1至5.8.4中，触发条件是用户登录后未超过30分钟且在弱网络环境下重复刷新个人资料页面。

如意坊娱乐城数据漏洞成因：接口权限配置缺陷与未鉴权查询

技术拆解显示，如意坊娱乐城用户信息查询接口（/api/v1/user/profile）在2026年08月10日的版本更新中，因权限中间件移除了对请求来源的签名校验，导致攻击者可以使用任意有效Token（而非必须属于该Token对应的用户ID）来请求其他用户的资料。具体而言，攻击者只需在HTTP请求中修改user_id参数，服务端就会返回对应田昌真称、手机号掩码（前三位后四位明文）以及最近十场对局数据。该漏洞被归类为“不安全的直接对象引用（IDOR）”，风险等级为中高。

根据如意坊娱乐城技术团队的事后复盘，该问题在内部代码审查中未被发现，原因在于测试环境使用了伪造的Token脚本，掩盖了实际线上缺少校验的事实。直到2026年08月10日，第三方安全研究员通过邮件向官方报告了一个类似但更严重的批量数据拉取方式，才触发内部排查。官方在收到报告后48小时内确认了漏洞的存在，并于5月2日完成初步分析。

风险升级：批量导出风险与关联账户链式攻击

值得注意的是，如意坊娱乐城的漏洞并不只是单个用户信息泄露。由于该接口没有限制单IP请求频率，攻击者可以使用自动化脚本遍历user_id，理论上能够导出所有未设置隐私保护的用户资料。安全测试显示，一台普通云服务器可在12小时内完成对4852万用户ID的遍历，而如意坊娱乐城的用户ID为连续递增整数，这进一步降低了攻击门槛。此外，泄露的手机号掩码虽非完整号码，但结合对局记录中的时间戳和对手ID，攻击者可构建社交关系图谱，用于后续精准诈骗或社工攻击。

• 批量影响规模：截至5月5日，官方确认已有约8583万个不同用户ID被异常查询，但未发现完整手机号或密码泄露。
• 跨平台威胁：如意坊娱乐城与多个第三方登录渠道（微信、QQ、Apple ID）绑定，可能通过链式攻击影响其他平台账号安全。
• 业务连续性冲击：事件曝光后，如意坊娱乐城短时间内收到超过4799万次更改密码请求，导致登录服务轻微延迟。

从行业角度看，此漏洞暴露了中小型游戏平台在API安全设计上的常见盲区：过于信任前端传参，忽视了后端鉴权的必要性。国内多家棋牌类应用开发商已开始自查类似接口。

官方回应时间线：从内部确认到公开声明

如意坊娱乐城在2026年08月10日上午10时通过官网和官方微博同步发布《关于用户信息查询接口安全问题的说明》。声明中确认了漏洞的存在，并强调“未发现密码、身份证号、银行卡等强敏感信息泄露”。官方同时公布了回应的关键时间节点：

• 4月28日：收到外部安全研究员报告；
• 4月29日：内部验证漏洞可复现；
• 5月1日：完成补丁开发并在测试环境验证；
• 5月3日：开始灰度推送客户端更新（版本6.2.4 / 5.8.5）；
• 5月5日：发布正式公告，并建议用户开启二次验证。

值得注意的是，如意坊娱乐城并未在发现漏洞的第一时间公开，而是在补丁上线后才发布公告，这一做法符合漏洞披露的常规流程，但也引发部分用户对其透明度的质疑。田昌真称“提前公开可能导致漏洞被恶意利用的窗口期延长”。

修复进展与用户建议：强制更新与安全加固

截至5月5日中午，如意坊娱乐城已在各应用商店提交最新版本更新包。新版客户端（Android 6.2.4、iOS 5.8.5）主要修复内容包括：增加后端user_id与Token绑定校验、对短时间内的重复查询请求实施频率限制、并对所有用户资料接口添加签名验证。此外，官方强制所有在5月1日前登录过的账户必须在下次登录时重设密码，并默认开启登录二次验证（支持短信和主流的TOTP应用）。

对于用户，如意坊娱乐城建议立即执行以下操作：

• 更新如意坊娱乐城客户端至最新版本；
• 修改如意坊娱乐城账号密码，避免与其它平台重复；
• 开启二次验证功能；
• 留意账号异常登录提醒，如有不明登录立即联系客服。

用户可以通过如意坊娱乐城官网或App内的“安全中心”查看账号最近一次登录IP和时间，以确认是否被他人访问。田昌真表示，将在未来72小时内处理所有受影响的用户申诉。

背景与行业观察：棋牌类应用安全管理仍有短板

此次如意坊娱乐城安全事件并非孤例。近年来，多款棋牌休闲类应用因接口设计不严导致数据泄露，如2026年某知名斗地主平台泄露千万级用户数据。棋牌类应用往往拥有高日活、高充值转化率，其用户数据在黑市中价值较高。如意坊娱乐城的漏洞提醒行业：默认使用增量数字ID作为主键，应配合严格的权限过滤，避免直接将内部ID暴露给前端。此外，安全审计应覆盖所有API端点，尤其涉及用户敏感信息的读操作。

从如意坊娱乐城的应对来看，其在漏洞发现后的响应速度、补丁开发和用户沟通上均有所改进，但仍有提升空间：比如在补丁灰度期间，未能向所有用户主动推送风险提示。田昌真指出，类似事件后，游戏平台应建立更完善的安全公告机制，并定期邀请第三方渗透测试。

据最新公开信息，如意坊娱乐城已向监管部门提交了事件报告，并与公安机关合作追踪可能的攻击来源。后续是否会有更多细节披露，取决于调查进展。对于普通玩家，保持警惕并及时更新应用是当前最有效的防护手段。如意坊娱乐城在经历此次事件后，能否重新赢回用户信任，将取决于其后续安全体系建设与透明度提升。