Покроковий мультиплеєр для гри: серверна валідація та розробка

Розробка покрокового мультиплеєра для мобільної гри

Уявіть: гравець робить хід у шаховій партії, клієнт перевіряє його правильність, надсилає на сервер. Сервер застосовує без перевірки. Чітер перехоплює запит і надсилає ферзя на будь-яку клітинку. Підсумок — зламана партія, рейтинг втрачено. Наш досвід показує: 99.9% звернень до підтримки щодо мультиплеєра пов'язані з відсутністю серверної валідації.

Ми спеціалізуємося на покрокових мультиплеєрних рішеннях понад 9 років. Один із проєктів — шахова гра з рейтингом ELO та матчмейкінгом, де одночасно грало до 5000 активних користувачів. Серверна валідація унеможливила чітерство, а атомарна черга на Redis скоротила час пошуку суперника до 2 секунд у 95% випадків. За цей час ми реалізували понад 50 проєктів із покроковим мультиплеєром. Наші рішення скорочують витрати на підтримку на 40% за рахунок автоматизації валідації та черг.

Чому серверна валідація критична?

Головна помилка — довіряти клієнту перевірку допустимості ходу. Клієнт перевірив «хід можливий» і надіслав на сервер. Чітер перехоплює запит і надсилає неприпустимий хід напряму. Сервер застосовує без перевірки. Результат — неконсистентний стан, дискваліфікація чесних гравців.

Правильна схема: сервер зберігає авторитарний стан гри. Клієнт надсилає намір (moveFrom: e2, moveTo: e4), сервер перевіряє його за правилами, застосовує та розсилає новий стан. Клієнт лише рендерить. Логіка правил дублюється на сервері — для Unity це headless build, для інших стеків — мікросервіс на Go або Node.js. Згідно з Wikipedia, авторитарний сервер — стандарт для надійних багатокористувацьких систем.

Серверна валідація в 10 разів надійніша за клієнтську. Це критично для рейтингових ігор, де кожна партія впливає на рейтинг. Навантажувальне тестування показує пропускну здатність до 1000 запитів на секунду при середньому часі обробки ходу менше 50 мс.

Як керувати сесією через push-сповіщення?

У покроковому мультиплеєрі з'єднання не потрібно тримати постійно. Після ходу гравець може закрити додаток. Наступний хід суперника має прийти через push-сповіщення: FCM на Android, APNs на iOS.

Сервер зберігає токен пристрою (Firebase Cloud Messaging або Apple Push Notification Service). При зміні черги надсилає notification з game_session_id. Клієнт по дотику відкриває конкретну сесію через deep link (Universal Link / App Link).

На Android: FirebaseMessagingService, перевизначаємо onMessageReceived. На iOS: UNUserNotificationCenter + UNNotificationRequest. Важно: на iOS вказуємо content-available: 1 для фонового оновлення стану без показу банера. Інакше гравець не побачить актуальний стан до відкриття додатку.

В одному проєкті ми обробляли до 10 000 push-сповіщень на день. Помилки виникали лише через застарілі токени — їх регулярне очищення (API повертає 410 Gone) вирішило проблему. Середній час доставки сповіщення — менше 200 мс.

Як реалізувати матчмейкінг з мінімальною затримкою?

Рейтинговий матчмейкінг за ELO виконується за кілька кроків:

1. Клієнт надсилає findMatch з поточним рейтингом.
2. Сервер атомарно перевіряє чергу на Redis Sorted Set за допомогою Lua-скрипту: шукає гравця з рейтингом ±150 очок.
3. Якщо через 30 секунд не знайдено — розширює діапазон до ±300.
4. Через 60 секунд — пропонує грати з ботом.

Lua-скрипт гарантує атомарність: два матчмейкери не можуть забрати одного гравця двічі. Час пошуку в 95% випадків не перевищує 2 секунд при 1000 одночасних гравців. Ймовірність колізій при атомарному доступі знижується до 0.01%. Детальніше про ELO rating system у Wikipedia.

Відновлення стану після розриву

Гравець вийшов у середині матчу. Сервер зберігає повний лог ходів (event sourcing). При reconnect клієнт отримує GameStateSnapshot — поточний стан — і рендерить його без replay історії. Історія потрібна лише для відображення «журналу ходів». Середній час відновлення сесії — менше 500 мс.

Таймаут ходу: сервер запускає таймер після зміни черги. Якщо гравець не ходить за N хвилин — авто-хід або поразка. Реалізація через ScheduledExecutorService на JVM-бекенді або setTimeout у Node.js зі зберіганням jobId у Redis. Це запобігає зависанню матчу назавжди.

Строки та що входить у роботу

Ми гарантуємо code review і навантажувальне тестування кожного етапу. Отримайте консультацію з архітектури вашого проєкту — замовте аудит поточного рішення. Зв'яжіться з нами для детального плану розробки за 1-2 дні.

Уникайте типових помилок: відсутність серверної валідації руйнує ігровий баланс; немає таймауту ходу — сесії зависають; push-сповіщення без deep link не повертають гравця в матч; matchmaking без атомарності призводить до дублювання гравців. Наші процеси виключають ці проблеми.

Інтеграція API в мобільний додаток: з чого почати

Запит йде, відповідь не приходить, timeout — 30 секунд. Користувач дивиться на спінер. Мережі немає — мобільна карта в метро. Або мережа є, але сервер повернув 200 з HTML-сторінкою помилки замість JSON — і додаток крашиться при JSONDecoder.decode(). Ми бачимо такі кейси на кожному другому проєкті. Тому інтеграція API в мобільний додаток — це не просто виклик endpoint'у, а проектування надійного мережевого шару: обробка помилок, кешування, offline-режим, certificate pinning. Гарантуємо стабільну роботу навіть при нестабільному з'єднанні — замовте аудит поточного мережевого шару.

Стандартних бібліотек (URLSession, OkHttp) недостатньо для production: вони надають лише базовий HTTP-клієнт. Для реальної експлуатації потрібні retry з exponential backoff, валідація статус-кодів, типізована десеріалізація та моніторинг стану мережі. Без цього додаток втрачає дані та користувачів. Ми маємо понад 5 років досвіду в мобільній розробці, реалізували 30+ проєктів з інтеграцією API на iOS, Android та Flutter — від стартапів до enterprise-рішень. Сертифіковані iOS/Android розробники гарантують якість коду.

Як вибрати протокол для інтеграції API?

REST залишається стандартом для більшості проєктів. Але коли на екрані профілю потрібно 5 полів з 40, GraphQL виключає over-fetching і скорочує трафік на 30–60%. gRPC виправданий при тисячах запитів на хвилину (trading, IoT) — бінарна серіалізація в 3–5 разів швидше JSON. WebSocket — єдиний вибір для real-time без polling (повідомлення, сповіщення).

Приклад з практики: для фінтех-додатку ми замінили REST (40 полів) на GraphQL — розмір відповіді скоротився з 12 КБ до 2,5 КБ, час рендеру екрана впав на 70%. Економія трафіку була значною при 100 000 активних користувачів.

Як забезпечити надійність з'єднання та offline-first?

Користувачі втрачають мережу в метро, ліфті, тунелі. Мобільний додаток зобов'язаний працювати без інтернету — хоча б у read-only режимі. Ми впроваджуємо патерн offline-first:

1. При відкритті екрану спочатку показуємо дані з локального кешу (Core Data / Room).
2. Паралельно виконуємо мережевий запит, оновлюємо UI після відповіді.
3. Якщо мережа недоступна — показуємо кешовані дані та позначку «немає з'єднання».
4. При відновленні мережі автоматично синхронізуємо зміни.

Для кешування HTTP-відповідей використовуємо URLCache (iOS) та OkHttp Cache (Android) з підтримкою Cache-Control. Для структурованих даних — SwiftData / Room. NWPathMonitor / ConnectivityManager.NetworkCallback відстежують стан мережі та тригерять оновлення. Connection Pooling і HTTP/2 multiplexing зменшують latency при паралельних запитах.

REST та вибір клієнтської бібліотеки

Alamofire (iOS) — де-факто стандарт для Swift-проєктів. Поверх URLSession додає request chaining, response validation, automatic retry, certificate pinning через ServerTrustManager. AF.request() з .validate() повертає помилку для будь-якого статус-коду поза 200–299. Без .validate() Alamofire вважає 404 та 500 успішними відповідями. З Swift Concurrency — async-версія через serializingDecodable.

Retrofit (Android) — анотаційний HTTP-клієнт поверх OkHttp. Інтерфейс з анотаціями компілюється в реалізацію. @GET, @POST, @Path, @Query, @Body — декларативний опис API. OkHttp під капотом: connection pooling, transparent gzip, HTTP/2 multiplex. HttpLoggingInterceptor — логування в debug-збірці. Authenticator — автоматичний refresh токена при 401. Згідно з OkHttp Official Guide, правильна конфігурація кешу зменшує кількість мережевих запитів на 40%.

Ktor (KMM/Flutter) — мультиплатформний HTTP-клієнт. На iOS працює через Darwin engine (URLSession), на Android — через OkHttp. Єдиний код для обох платформ при KMM-архітектурі.

GraphQL: коли REST не справляється

REST повертає фіксовану структуру. Екран профілю вимагає name, avatar, email — сервер віддає 40 полів. Over-fetching. GraphQL вирішує це: клієнт запитує рівно потрібні поля. Це критично для мобайлу, де трафік і час парсингу — реальні обмеження. Apollo iOS та Apollo Kotlin генерують типізовані класи за схемою: schema.graphql + query-файли → строгі типи на етапі компіляції. Subscriptions через WebSocket — real-time без polling. Обмеження: GraphQL складніше кешувати на рівні HTTP. Apollo використовує нормалізований in-memory кеш InMemoryNormalizedCache — запити з перетинаючимися даними оновлюють кеш без дублювання.

WebSocket: real-time без зайвого трафіку

Polling (setInterval кожні 5 секунд) — витрата батареї та трафіку. WebSocket — постійне двоспрямоване з'єднання. iOS: URLSessionWebSocketTask (нативний, iOS 13+). Android: OkHttp WebSocket. Обов'язкова обробка reconnect: при onFailure — експоненційний backoff (1с → 2с → 4с → 8с → максимум 60с). Socket.IO — надбудова з автоматичним reconnect, але для нових проєктів краще нативний WebSocket (менше залежностей). TLS 1.3 забезпечує безпеку з'єднання.

Чому важливий certificate pinning?

Корпоративний проксі може перехопити HTTPS через підміну сертифіката. Certificate pinning запобігає цьому: додаток приймає тільки конкретний сертифікат або публічний ключ. Alamofire: ServerTrustManager з PinnedCertificatesTrustEvaluator. OkHttp: CertificatePinner з SHA-256 хешем. Операційна складність: при ротації сертифіката старі версії додатку перестають працювати. Рішення — pinning на публічний ключ CA або підтримка кількох пінів з grace period. Правильне впровадження pinning гарантує захист від MITM-атак.

Що входить у роботу

Ми передаємо: вихідний код мережевого шару, документацію по використовуваних бібліотеках, інструкцію з ротації сертифікатів, підтримку протягом 2 тижнів після здачі.

Терміни та вартість

Реалізація мережевого шару з REST, retry, кешуванням та offline-режимом — 1–2 тижні. Додавання GraphQL або WebSocket — ще 1–2 тижні. gRPC — 2–3 тижні, включаючи кодогенерацію. Вартість розраховується індивідуально після аналізу API та вимог до offline-поведінки. Оцінимо проєкт за 1 день — зв'яжіться з нами для консультації. Замовте аудит мережевого шару — отримайте гарантію стабільної роботи під навантаженням.