三站前端工程对比 + 两类增补
tablegame.ph vs ArionPlay vs BingoPlus  ·  PTGaming (Cocos H5) · CasinoPlus (Next.js + Connect-RPC)

目录

结论

第 4 类研究对象 · PTGaming (Cocos H5 游戏引擎站点)

架构观测（克隆站点时实证）

PTGaming runtime evidence · cloakbrowser logged-in lobby boot引擎:        Cocos Creator 2.4.9 (2020 年代版本, 当前主线 3.x)
渲染:        WebGL canvas 1792×828, 全 UI 在 GameCanvas 内, DOM 几乎空
JS payload:  cocos2d-js-min 1.17 MB + 9 jsList scripts + 8 plugin JS + 11 模块 JS
             ≈ 3.5 MB JS 总和 (压缩前)
Bundle 系统: 4 Cocos bundles (internal / main / resources / MoreGameIcons)
             每个含 config.json + 134 packs + imports + natives (PNG/MP3/TTF)
             UUID 22-char base64 compact 运行时解码为 36-char hex hyphenated
LocalStorage: 37 keys, 含 game_list 1.96 MB (整个游戏目录前端缓存!)
              + kSessionId 54 字符 (明文) + 字节跳动 TEA tokens
API host:    io.playgame.zone 单 host
             /api/v2/* (28 endpoints) + /bmp-*/v1/* (6) + /gray/v1/* (1)
             ── 3 套前缀 (BingoPlus 是 4 套)
第三方 SDK:  字节跳动 TEA + Geetest v4 + Adjust + AIHelp + Facebook
             + Google GSI + dgames + aisecurius = 8 个
灰度发布:    index.<version>.html 切版 (2.7.1 / 2.7.2 / 2.7.2.3 / 2.7.2.4)
             ── 工程上是 staged rollout
PWA:         未观察到 manifest / SW
错误监控:    未观察到 Sentry / Bugsnag / DataDog
            (有字节跳动 TEA 数据分析, 但不是错误上报)

跨类别可比维度 (只在抽象层面比较)

PTGaming 工程亮点

• 灰度发布版本切换：根 / index.html 是版本选择器，根据 LS 中 Gray_version 路由到 index.2.7.2.4.html 等具体 build。其他三家没看到这种机制。
• OFFLINE-first 数据策略：游戏目录 (1.96MB game_list) + 邮件列表 + 横幅 + 活动列表全部缓在 localStorage，进 lobby 不需要后端往返。代价是 LS 容量沉重。
• Cocos 资产 UUID 系统：22 字符 base64 compact UUID 运行时解码为 36 字符 hex hyphenated 路径，避免 hash 暴露资产关系图。这是 Cocos Creator 2.x 标准做法，但相比 webpack content-hash 更隐蔽。

PTGaming 工程问题

• Cocos Creator 2.x 已过时：当前主线 3.x（2021 起），2.x 主流支持已停。技术债 ≈ BingoPlus 的 Vue 2 / Webpack 4。
• 字节跳动 TEA SDK：默认采集 web_id / user_unique_id / 时间戳，可推断设备指纹。监管视角是数据外流隐患（菲律宾用户行为流到字节后台）。
• localStorage 当数据库：1.96MB game_list 单 key。LS 5MB 配额一半被吃掉，QuotaExceededError 风险。换 IndexedDB 更合适。
• 整 UI canvas-rendered：a11y 全无（屏幕阅读器无法解析 canvas）、SEO 仅 head 标签、用户右键检查元素看不到任何业务内容。这是游戏类站点的代价，但 PSE 牌照下可能有 a11y 合规问题。

第 5 类研究对象 · CasinoPlus (Next.js + Connect-RPC + 重 tracker 注入)

架构观测（克隆站点时实证）

CasinoPlus runtime evidence · cloakbrowser logged-in /home boot框架:        Next.js + React (useEffect 426x / useState 545x / createElement 237x)
              + next/router (1) + useRouter (2x)
状态管理:     Redux-style central store (lt.store.getState() 54x)
UI 库:        Material-UI (MUI) ── MuiButton 25x / MuiAppBar 5x / MuiTypography 6x
构建:         Webpack 4-era + content-hash chunk splitting
              runtime.69b51f9b5ce09691.js 包含 50 个 lazy chunk hash map
              主 bundle: f2a29b21af0cfcde.js (8.0 MB) + main.4e7eb36ce9f4cbd6.js (8.0 MB)
              CSS: main.223f76fdd82c65af.css (963 KB) + 4 个小 chunk
              mirror 总大小: mobile 425 MB + desktop 467 MB ≈ 1 GB (两套独立!)
RPC:          双层 ── ① @bufbuild/connect-es 1.6.1 (gRPC-Web binary, +proto)
              ② 自家 _fetch JSON wrapper (functionName + requestId + RQ99 envelope)
              client-es 用 protobuf-es 生成 typed message class (Ca extends l)
              这是五家唯一用 protobuf binary 序列化
环境:         bundle 内硬编码 4 个 env baseUrl
              PROD: fpms-nt.casinoplus.top
              INTERNAL: fpms-nt.fpms99.me
              TEST: fpms-nt-public.fpms88.me
              TEST_CF: fpms-nt-cf.fpms88.me
              (5 家中唯一 build-time multi-env, 其他家 runtime env detection)
WebSocket:    14 个候选 WS host (cp-ws.casinoplus.top / cp-ws-qat / platform10/88/99
              / client-api-uat/qat-stable/cf / casinoplus-test-dev.bewen.me 等)
              auto-fallback chain, 含 RetryLimit + "weak connection" popup
LS auth:      token (648-char JWT) + player (1760 chars) + sessionId (22 chars)
              + uKey + fingerPrint (38 KB) + cgRTN + jackpotRealTimeList 全 plain
              无 SecureLS, 无 vuex-persistedstate 加密 ── XSS 直拿
第三方 SDK:   25+ 个 (5 家最重!)
              静态 src: Taboola eid + Yahoo ytc + Twitter Ads uwt + Criteo dyn+ssl
                      + Liftoff cdn-public + AppLovin s.axon
                      + Cloudflare RUM beacon + Telegram WebApp = 8 src
              inline init: TikTok pixel × 11 (重复) + Snowplow + fbq + Liftoff
                          + Criteo + axon AppLovin + gtag = ~17 inline
              额外: PostHog (posthog.casinoplus.top) 全程 event 上报
错误监控:     PostHog (analytics 类) ── 无 Sentry / Bugsnag / DataDog
              自家 _httpStatusFromError 包装把 connect-es code 映射成 400/401/403/404
PWA:          有 /home/service-worker.js + manifest.json (manifest 配置不全:
              start_url / scope 被浏览器忽略, 不构成真 PWA installable)
Cloudflare:   全栈托管 (CF Pages + Workers + RUM beacon)
              fpms-nt 上游 ACAO:* 对服务器 IP 开放, 真用户 IP CORS 行为不一致
              (Cloudflare IP rule 区分)
移动适配:     UA 切分两套独立 bundle (mobile + desktop 不同 hash, 总大小 ~1 GB)
              其他四家是 responsive design 单 bundle

跨类别可比维度 (5 家横向对比)

CasinoPlus 工程亮点

• @bufbuild/connect-es + protobuf-es 二进制 RPC：5 家唯一 type-safe 协议栈。响应是 application/grpc-web+proto 框架二进制，message class 由 .proto 自动生成 (class Ca extends l { static typeName="CMS.CpmsGetTicketEventRequest"; static fields=Ue.util.newFieldList(()=>[...]) })。序列化错误 schema 不匹配会在编译时挡掉，比 JSON-only 三家工程纪律高一档。
• 双层 RPC 架构：connect-es 走业务 RPC（gRPC-Web binary），自家 _fetch 走 RESTful query（Twirp-style functionName + requestId 信封）。各司其职而非一刀切。
• Build-time multi-env：bundle 内硬编码 4 个 baseUrl env（PROD fpms-nt.casinoplus.top / INTERNAL fpms99.me / TEST fpms88.me / TEST_CF cf-fpms88.me），不需要 runtime env-var。这意味着可以一份 build 切多环境部署。其他四家是 runtime 检测。
• 双 mirror UA 切分：mobile + desktop 独立 bundle hash + 独立 chunk 体系。代价是 ~1 GB asset 双倍，但 移动端首屏 bundle 比单 responsive bundle 小 30-40%。工程上是个 tradeoff 选择，非错误。
• 14 个 WS host fallback chain：cp-ws.casinoplus.top / cp-ws-backup / cp-ws-qat / qat-backup / uat-backup / client-api-uat/qat/qat-stable/cf / fpms-nt-http.platform10/88/99 / casinoplus-test-dev.bewen.me / dos88.me。upstream 失效自动切。过度工程但表明运维成熟度。
• MUI + Next.js 主流栈：5 家最 mainstream 的栈（vs BP 的 vue-element-admin / AP 的 vben-admin-pro / PT 的 Cocos）。开发者上手成本最低。

CasinoPlus 工程问题

• Tracker 堆叠业界最重 (25+ SDK)：TikTok pixel 重复 11 次（同 pixel ID 多 ad set 重复 init → SyntaxError: 'maxDepth' has already been declared）+ Snowplow + fbq + Liftoff + Criteo + AppLovin axon + Taboola eid + Yahoo ytc + Twitter Ads uwt + Cloudflare RUM beacon + Telegram WebApp + PostHog + gtag。页面加载 25+ 个第三方域 = 性能 / 隐私 / 兼容性三杀。
• "weak or unstable connection" 误弹 UX 反模式：bundle wsStatus 监听里只要收到 type=2 close frame 就 setLocalItem("wsRetryLimit", true) + Lc() 弹整屏遮罩 + REFRESH + CONTACT CS 按钮。移动端 4G/5G 切换、Wi-Fi 弱信号、应用切前后台 全会触发。克隆站第一轮就被这个弹窗卡住，必须 bundle patch 杀掉。
• JWT + 全套用户身份 plain LS：token (648 字符 RS256 JWT) + player (1760 字符 profile JSON 含 email/playerId/platformId/permissions) + uKey (26 char) + sessionId (22 char) + fingerPrint (38 KB 完整 FingerprintJS pro v3 输出 含 canvas/WebGL/audio fingerprint)。XSS 一拿，账号 + 设备指纹一锅端。比 ArionPlay 的 SecureLS AES 加密差一截。
• 无错误上报 SDK：与 tablegame.ph 同款盲区。PostHog 抓的是 event analytics（点击/页面浏览/funnel），不是 console error / unhandled rejection。生产事故只能等用户反馈。
• Bundle 体积失控：单一 main bundle 8.0 MB + f2a29b21 chunk 8.0 MB ≈ 16 MB JS 总和（gzip 后估 ~4-5 MB）。同期 ArionPlay 主 bundle ~3 MB / BingoPlus ~5 MB。Next.js + MUI + protobuf-es 生成 client 全栈一锅烩，没做 route-level split。
• Webpack 4-era 构建：runtime.69b51f9b5ce09691.js 内的 chunk 加载逻辑是 Webpack 4 风格 (d.l = (e, r, t, n) => {...})。同期 industry standard 是 Webpack 5 module federation 或 Vite Rollup。技术债与 BingoPlus Webpack 4 / Cocos 2.x 同代。
• 双 mirror 1 GB 资产：mobile + desktop 各 425/467 MB，重复存储 manifest / icon / 翻译 / image。CDN 流量翻倍。Edge cache 命中率打折。
• 14 WS host fallback是过度工程：客户端硬编码 14 个 wss URL，多数指向 *.platform10.me / *.casinoplustools.com 等内部域名，泄漏内部基础设施拓扑。攻击面 14× 比单 host 大。

§0 · 项目身份表

§1 · 技术栈代际对比

1.1 框架代际

• TG / AP 同代际（Vue 3 + Vite + Pinia），代码组织习惯不同
• BP 代际最老（Vue 2 + Webpack 4 双 EOL）
• CP 栈最 mainstream（Next.js + React + MUI 是企业级 SaaS 标配），底层 build 仍 Webpack 4 era
• PT 独立物种（Cocos canvas WebGL，整 UI 在 <canvas id="GameCanvas"> 里渲染）

1.2 一手数据：bundle 体积

§2 · RPC 协议层（最大差异）

• CP 是 5 家唯一用 protobuf binary。@bufbuild/connect-es 1.6.1 + @bufbuild/protobuf-es 自动生成 typed client class，编译时挡 schema 错配。5 家工程纪律最高的协议层选择。
• AP 的子域分离（apih5 / static / 主域三段）干净但增加 DNS 跳转
• BP 的 4 套并存 URL prefix 是技术债（不同年代叠加未合并）
• PT 的 3 套前缀有版本意识（/bmp-*/v1/* + /gray/v1/* 灰度通道）
• TG 的 单 /api/* namespace 最简洁，但 11 路由 audit 触达 5/82 endpoint = 6% audit 覆盖率。未触达 ≠ dead，需 reachability/ownership 分析才能下结论

2.1 多环境策略

§3 · 状态持久化 & 加密

• AP 的 SecureLS 加密是工程姿势对的，但 secret 是 bundle 硬编码 UUID，意味着对 XSS 没真防（攻击者注入 JS 一样能拿到 secret 调 SecureLS.get）。只防被动 LS dump，不防主动 XSS。要真防 XSS 必须改 httpOnly refresh cookie + memory-only access token，敏感 auth 数据不落 LS（WebCrypto subtle 也不行，密钥能被 JS 拿到 XSS 就能拿到）
• BP 的指纹动态 key 是安全增益负的（漂移导致登出比 XSS 风险还高）
• CP 是 5 家身份载荷暴露面最大的：> 40 KB 用户身份数据可被任意 LS-read 脚本拿走

§4 · 第三方 SDK 堆叠对比

4.1 跟 Sentry 等错误监控的差距

§5 · WebSocket 设计对比

• CP 的 14 WS host fallback 过度工程：攻击面 14× 大 + 泄漏内部基础设施拓扑（dos88.me / bewen.me / casinoplustools.com 都不该出现在 prod bundle）
• 14 个 host 实际冗余度未经 DNS/ASN/origin 实测验证。若多数 host 共享同一上游 ASN / K8s ingress，fallback 不构成真灾备（假说，需 DNS/ASN 实测）
• CP 还自带"weak connection"误弹机制：wsStatus type=2 close frame 就 setLocalItem("wsRetryLimit", true) + 弹整屏遮罩。移动端 4G/5G 切换、Wi-Fi 弱信号全会触发。克隆站第一轮就被这个弹窗卡住

§6 · 资产 & 移动适配

§7 · PWA 离线能力

§8 · 灰度发布 / staged rollout

§9 · 反爬 / 反自动化

§10 · 整体评分（7 维加权综合）

计算公式（AP 为例）0.25×7 + 0.20×4 + 0.15×1 + 0.15×8 + 0.10×7 + 0.10×5 + 0.05×3
= 1.75 + 0.80 + 0.15 + 1.20 + 0.70 + 0.50 + 0.15
= 5.25

§11 · 五家工程团队画像（推断）

§12 · 单项最佳 / 最差汇总

§13 · 一句话总结每家

• tablegame.ph (TG) — 自家产品 — 务实 Vue 3 但本次 audit 仅触达 5/82 endpoint（6% audit 覆盖率，77 个未在本轮 audit 触达；是否真未用需 reachability 分析）+ 错误监控 0 上报 = 审计覆盖率低 + critical 监控盲区。"内部用所以不上 Sentry" 是错的，得立刻补。
• ArionPlay (AP) — 5 家工程纪律最高：SecureLS AES + 子域分离 + 2 SDK 克制。Vue 3 + vben-admin-pro 模板加速。如果 Sentry 补一下就跃居首位。
• BingoPlus (BP) — 历史包袱最重：Vue 2 + Webpack 4 + 4 URL 并存 + sensorsdata × 4 + 指纹漂移逼登出。全栈重构候选。
• PT Gaming (PT) — 独立物种：Cocos H5 + 灰度版本切换 + OFFLINE-first，运维成熟但 Cocos 2.x EOL + 字节 TEA 隐私风险 + a11y 全无。
• CasinoPlus (CP) — 反差最大：protobuf binary 协议先进 + 第三方 SDK 数量最高（25+） + 身份载荷暴露面最大 + 16 MB main bundle + 14 WS host 暴露内网域名。剥多余 tracker（保 1 套分析）+ httpOnly refresh + 补 Sentry + bundle route split 可跃居首位。

§14 · 跨家共同盲区（现有证据下 5 家方向一致，含 evidence boundary 标注）

1. 错误监控：现有证据均未显示错误上报 —— 4 家 runtime 实证（TG/AP/PT/CP）无一上报到 Sentry/DataDog/Bugsnag；BP 静态推断未见上报痕迹，runtime 待验证
2. 登录态 token 持久化策略弱：从最差（CP plain）到次差（AP SecureLS UUID secret 仍可 reverse），无一用 httpOnly cookie + refresh token rotation
3. 第三方 SDK 全部不沙箱化（runtime 实证 ✓）：4 家 SDK 都直接 <script src> 或 document.createElement('script') 注入，无 iframe sandbox / Trusted Types CSP。任何一个 SDK 被劫持 = full page 受控
4. 无 SRI（4 家 HTML/DOM 检查未发现 integrity= 属性 ✓）：5 家第三方 <script src> 标签均未带 integrity= SHA hash 属性。CDN 被劫持时恶意脚本直接生效
5. CSP 缺失或宽松（TG/AP/PT/CP 响应 header 实测 ✓；BP 未观测响应 header）：4 家都没有严格 CSP
6. PWA installability 不完整（按家区分）：
   • TG：完整 PWA（runtime 实证 ✓）
   • AP/CP：有 manifest 但配置不完整（CP runtime 实证 console 报 Manifest: property 'start_url' ignored）
   • BP/PT：无 manifest 文件

§15 · 反向问题（"如果都做对会怎样"）

§16 · 证据基础 + Codex Review History

• TG: cloakbrowser 真登录 2026-05-12（user 提供账号），4813 outbound + 11 routes + 错误注入 + Sentry probe
• AP: 17 路由 cloakbrowser audit 全绿，bundle 分析 + SecureLS reverse
• BP: 静态 bundle 分析，60/60 假阳性教训 → 严格 audit pattern 建立
• PT: 阶段 2 logged-in lobby 9/9 audit，cocos2d-js + 4 bundles + UUID 解码算法
• CP: 2026-05-14 5 轮迭代克隆，E2E PASS（0 page err / 0 chunk 4xx / 263 image / playerId 1059170117 ZIPHEA），代理 + demo login 已上线

证据文件路径

/home/devuser/tablegame-clone-research/data/monitoring_test/   ← TG runtime
/home/devuser/arionplay-clone/                                  ← AP source
/home/devuser/bingoplus-monitor/                                ← BP source
/home/devuser/ptgaming-clone/data/audit_stage2/                 ← PT logged-in audit
/home/devuser/casinoplus-clone/                                 ← CP source + storage_state + serve_full_clone.py
~/.claude/projects/-home-devuser/memory/clone-sites-overview.md ← 跨项目沉淀

Codex Review History (7 轮迭代)

10 维雷达图

评分明细

逐项深度对比

1构建工具与版本化策略

2框架与状态管理

tablegame.ph main.js · 关键字 grepcreateApp:        1  ✓
provide():        6  ✓ (Composition API)
onUnmount:        1
watch():         29
computed():       7
try{:           140  ✓ (错误处理密度极高)
await:          117  ✓ (async-first)
localStorage:    50
IndexedDB:       18  ✓ (大量结构化客户端存储)
console.log:      0  ✓ (production 清干净)
console.error:    1

3API 设计与同源策略

tablegame /api endpoints 节选 (82 个)/api/user/{login,register,balance,withdraw,refreshToken,tokenLogin,...}
/api/game/{detail,getGameUrl,getState,getGameListWithCache}
/api/jackpot/{amount,games,info,ranking,winning_info,...}
/api/mail/{list,read,readAll,deleteAllMail,...}
/api/luck_wheel/{info,list,my_list,receive_reward}
/api/payment/list      /api/wallet     /api/bet_task
/api/fcm/auth_push     /api/fb/pixel   /api/preload

4加密与状态持久化

5错误处理与可观测性

tablegame index.html · 自动刷新弹窗function isAssetJsFile(url) { /* 严格匹配 /assets/*.js */ }
window.addEventListener("error", (event) => {
  if (event.target.tagName === "SCRIPT" && isAssetJsFile(event.target.src)) {
    showUpdateModal();  // 弹"有新版本,需刷新"
    event.stopPropagation();
  }
}, true);
window.addEventListener("unhandledrejection", (event) => {
  const url = event.reason?.target?.src
    || event.reason?.message?.match(/(https?:\/\/[^\/]+\/assets\/.*?\.js)/)?.[1];
  if (isAssetJsFile(url)) showUpdateModal();
});
// sessionStorage 防循环刷新

6PWA / 离线能力

7第三方依赖卫生

8资产与图片策略

9协议运行时（结论受限）

10移动适配与设备检测

tablegame.ph 的工程亮点

tablegame.ph 的真问题（critical view）

运行时实证 · cloakbrowser 真登录 2026-05-12

window.* probewindow.Sentry                       : undefined  ✗
window.__SENTRY__                   : object (空 carrier, sentryClient: false)
window.DD_RUM                       : undefined  ✗
window.Bugsnag                      : undefined  ✗
window.Rollbar                      : undefined  ✗
window.newrelic                     : undefined  ✗
window.LogRocket                    : undefined  ✗
window.heap                         : undefined  ✗
window.onerror property hook        : NOT set    ✗
window.onunhandledrejection hook    : NOT set    ✗

注：站点存在 asset-404 专用 addEventListener('error',...) (stale-asset 弹窗用),
    但这只覆盖资源加载失败 → 弹窗刷新, 不上报任何后端。
    缺失的是: 通用错误上报 SDK / property hook / reporting pipeline。

→ 没有任何主流前端错误监控 SDK 接入
→ 3 错误注入 + 1 Sentry API 探针后 8s 内 0 个 RUM-pattern outbound 请求

SW statenavigator.serviceWorker.controller : 存在
SW scope: https://www.tablegame.ph/
SW state: activated
SW script: https://www.tablegame.ph/sw.js

IndexedDB databases:
  - ss_plugin_cache_pro (v2)  ← salesmartly 客服的
  - sw-storage (v1)            ← Service Worker 缓存存储

离线 reload 测试:
  context.set_offline(true) → page.reload()
  → has_app: true  ✓
  → title: "Table Game"  ✓ (保留)
  → 业务数据 chars: 448 (仅 SPA shell)

localStorage 登录后authStore: "tablegame 业务 auth state"   ← plain text, 未加密
salesmartly_p_g1nxbu9_token: "客服自己的 token"
salesmartly_p_g1nxbu9_token_date: "..."

→ 已确认 auth token material 暴露在 plain localStorage
→ 本次会话未观察到 httpOnly auth cookie (不完全排除并行 session 路径)
→ XSS 一旦命中 → 至少能拖走 LS 中的 auth material

11 路由 + 登录后实际访问的 /api/* (热路径)GET  /lobby/api/preloadcheck
GET  /lobby/api/preload
GET  /lobby/api/game/getGameListWithCache
GET  /lobby/api/jackpot/games
POST /lobby/api/fb/pixel   body={"cid":1}

→ 只有 5 个 endpoint 在常规浏览路径上被实际触发
→ 82 个静态定义是 bundle 内 audit-able 上限, 不是热路径
→ apiHost:"/lobby" 反代路径已验证

关键数据

一句话总评