1.1 SGWCMAID#

在登录舞萌 DX 机台时，需要通过「舞萌 | 中二」公众号获取二维码。长按二维码解析后的字符串即为SGWCMAID。

严重警告

绝对不要在任何公开场合泄露您的 SGWCMAID

请仅向您信任的人员或服务提供 SGWCMAID。

如果他人获取了您的SGWCMAID，则意味着对方拥有您的舞萌账号操作权限，可在有效登录时效期内登入您的账号。

1.2 登录时效#

SGWCMAID 的页面底部会显示二维码的有效期提示。过期后，二维码无法再用于机台登录，需生成新的二维码。

二维码有效期：约 10 分钟

账号登录时效：约 30 分钟 (2025/08/27 测定 )

• 当距离上一次二维码获取已超过约 30 分钟时，账号会进入「冻结」状态，任何方式均无法登录

• 该状态会在生成新的二维码后解除

• 这是对账号的一道保护机制，防止攻击者滥用

1.3 User ID#

User ID 并不是好友代码，而是舞萌国身份证 账号标识，与SGWCMAID关联

通过SGWCMAID可以获取对应的User ID

拥有User ID的同时，也意味着拥有操作该账号的权限，可用于登录或对你账号进行 G 键开挂

• 舞萌 DX 的User ID为顺序计数，开头固定
• 所以 User ID 可被用作遍历攻击，这就说明了挂哥是如何给你的账号开挂的，他们通过遍历 User ID 来登入你的账号，如果你的账号恰好在登录时效内且处于未登录状态，那么你就倒霉了，所以说，登录时效是华立最后的底裤，如果没了，任何人的账号都可以随时被登录

1.4 小黑屋#

• 舞萌服务器规定的登录会话超时为15 分钟
• 登录时必须使用生成时的时间戳，登出也必须使用对应的时间戳
• 如果没有正常登出（如因服务器丢包、高延迟或异常宕机），账号就会进入我们所说的小黑屋，只能等会话超时自动过期 / 用科技解除
• 这是服务器防止会话滥用的一种保护机制
• 但是由于舞萌服务器延迟较高，实际小黑屋持续时间可能会大于 15 分钟

IMPORTANT

1.4.1 格式约定#

SGWCMAID由三部分组成：

PRTCL // PLAINTEXT

SGWCMAID + 16 位时间戳 ( 格式 YYMMDDHHMMSS) + 64 字符校验签名

• 时间戳用于限制二维码有效期
• 64 字符部分为不可逆的校验 / 签名或加密片段

1.4.2 服务器验证流程（已抹去部分关键信息）#

0. 本地验证SGWCMAID是否合法

1. 机台或客户端将扫码得到的SGWCMAID发送到服务器的二维码验证接口

2. 服务器解析 SGWCMAID：

• 校验时间戳是否在允许的有效期内
• 验证字符校验段是否合法

3. 验证通过后，服务器返回userID以及其他可能的附带信息；否则返回错误码并拒绝登录

1.4.3 session 与时效#

成功验证后服务器通常会把该次登录转换为短期会话session，该会话的有效期约为 30 分钟 (2025/08/27 测定 )

会话到期或被显式登出后，需再次使用新的SGWCMAID登录

若超过会话有效期且没有新二维码获取，账号会被置为「冻结」状态，需要获取二维码以解除

1.4.4 为什么不能泄露#

SGWCMAID 本质上是一次性登录凭证：持有者在有效期内可被服务器识别并取得对应 userID，从而获得账号操作权限

字符校验虽不可逆，但若泄露仍可直接被服务器接纳（只要时间戳未过期），所以必须严格保密

1.4.5 击碎你的幻想#

SGWCMAID 的构成与服务器端验证是不可逆且受时效限制的，因此不能从本地仅靠解码可靠地推算出 userID（必须由服务器返回）

至少目前确实是这样

同一条SGWCMAID在其有效期内可被服务器直接接受，除非获取新的二维码 / 二维码到期，如果有人比你抢先一步使用此泄漏的SGWCMAID获取到了 User ID，那只能祝你好运了。

2.1 外挂#

目前我们所熟知的外挂有以下作用：

• 传分 往账号中写入指定的乐曲成绩
• 下埋 批量写入 ( 指定难度 / 版本等 ) 成绩
• 发票 向您的账号中发放「补偿」的 2/3/4/5/6 倍进度票
• 解歌 解锁被锁定的乐曲 ( 比如紫谱难度 )
• 解图 解锁地图 ( 如月面区域 )
• 跑图 顾名思义
• 签到 签到集章卡
• 解锁收藏品 包括但不限于 姓名框 / 称号 / 头像 / 搭档 / 背景板 / 功能票
• 修改舞里程 DX2025 更新的舞里程商店，可用里程购买功能票等道具

IMPORTANT

2.1.1 概览#

本质是：在有效的会话中，直接向服务端写入用户的成绩或收藏品等，这并不是正常游玩流程

拿最常见的传分举例：
一般作弊者会构造并向服务器发包，于数据包中设置目标字段（如 musicId,level,achievement 等）来插入或替换成绩

还有就是小黑屋扫号： 遍历扫号指攻击者通过预测或顺序试探 User ID，配合可被接受的临时凭证或薄弱的登录路径，在大量账号中快速尝试登录的行为

如果某个被测试的账号恰好处于有效登录时效内，攻击者就能直接取得该账号的会话并登入，然后不主动执行logout操作，这就会使该玩家无法正常游玩，更高级的攻击者还会自动续关，使该帐号锁定不止十五分钟，严重可能以小时为单位

舞萌国「社工库」 目前已有攻击者可以通过您的rating，头像，姓名框，背景板，昵称等信息，以查询账号数据库的方式反推出您的 User ID 并将您的信息建档成库，部分攻击者已在某鱼等平台出售相应服务

如何保护自己的账号

1. 不在不信任的公开场合发送您的二维码 /SGWCMAID
2. 不在非出勤时间随意获取二维码
3. 发 b50 尽可能隐藏掉昵称等不必要信息

2.2 HDD/app#

舞萌 DX 机台运行的游戏程序本体，app是官方机台运行的游戏程序，HDD一般用于在手台等非官方机台上运行，可能还会带有部分 mod 功能，比如Auto Play

此部分带来的法律风险由用户自己承担

2.3 opt#

服务器向机台下发的更新会以.opt形式呈现，其中包含此次下发的更新内容，例如乐曲数据等信息

下发时间 opt 下发并通知机台下载此更新的时间
发布时间 机台应用本次更新的时间

机台即使下载好了 opt 也不会立刻更新，需要满足发布时间才会更新

2.4 第三方服务器#

目前根据笔者已知有以下第三方服务器：

• 转发服务器：作中转用途，作为中间人代理以加速华立服务器的加载速度
• 纯粹的私服

2.5 第三方查分器 /bot#

主要用途是帮助玩家了解自己的 Best50 等游玩成绩，目前主流查分器有落雪查分器与水鱼查分器,bot 的话太多难以统计，主要也是此用途

2.6 手台#

玩家第三方自制、高度模拟官方机台的机器