Configure scripts QBCore com um manifesto claro e uma lista precisa de dependências; depois teste configuração, locales, ordem de inicialização e validações de eventos no servidor antes da produção.
Declare o limite do recurso
Leia o README e as notas de versão do pacote antes de alterar qualquer coisa. Obtenha dessa documentação a pasta do recurso, dependências, caminhos de configuração e possíveis migrações de banco de dados, e execute somente migrações documentadas na homologação. O manifesto abaixo é um exemplo de estrutura, não substitui as instruções do pacote.
fx_version 'cerulean'
game 'gta5'
dependency 'qb-core'
shared_script 'config.lua'
shared_script 'locales/en.lua'
client_script 'client/main.lua'
server_script 'server/main.lua'Personalize configuração e locales com segurança
Revise config.lua e os arquivos de locales fornecidos antes do primeiro início. Mantenha valores específicos do servidor na configuração, copie apenas chaves de locale documentadas e mantenha o padrão upstream como ponto de comparação. Mantenha uma alteração apenas se uma pessoa for responsável por ela, se ela sobreviver a uma atualização upstream sem patch no núcleo e se tiver passado pela homologação antes da produção.
Inicie dependências primeiro
Em server.cfg, inicie qb-core antes do script que depende dele. Instale o adaptador de banco de dados exigido pela sua versão exata do qb-core antes do qb-core; o core upstream declara oxmysql. Verifique as dependências de recursos adicionais separadamente. Inicie todas as outras dependências documentadas primeiro e use ensure somente após verificar o nome de cada pasta de recurso.
ensure qb-core
ensure your-resourceValide eventos no servidor
Trate a entrada do cliente como não confiável. Use eventos de rede apenas quando dados precisarem cruzar contextos de cliente e servidor, e valide permissões, propriedade, posição, inventário, dinheiro e estado com dados do servidor antes de alterar algo valioso. Não deixe um cliente escolher recompensa, preço, jogador alvo ou ação privilegiada sem verificações no servidor.
Teste toda alteração em homologação
Use um servidor de homologação com configuração representativa e banco de dados descartável. Inicie o recurso após uma reinicialização limpa, exercite o fluxo principal de jogador com uma conta autorizada e outra sem privilégio, inspecione erros do servidor e repita após reiniciar o recurso. Registre a versão exata e o delta de configuração antes da produção.
Fontes primárias: código-fonte atual do qb-core, documentação de manifesto de recurso da Cfx e guia de segurança de servidor da Cfx.
Documentação de referência
Fonte: qbcore-fivem/qb-core · Cfx.re — manifesto de recurso · Cfx.re — segurança do servidor