产物验收与资源访问

静态检查

核对入口、引用、白名单、存储/解码大小、资源哈希、密钥残留、开发地址和外链清单。PCK/WASM 为二进制，HTML 文本扫描无法覆盖全部脚本、画面或音频。发现 URL 字符串只是线索，不等于已产生联网行为。

至少观察冷启动、进入玩法、结算、返回、重新开局、刷新和平台浮层打开/关闭。记录：

证据	用途
URL / 发起者 / 次数 / 状态码	查重复加载、循环重试、外连
transferSize / encodedBodySize / decodedBodySize	区分实际传输、压缩大小和解码大小
缓存命中 / 304 / 响应缓存头	判断重复请求是否重复下载
控制台异常、长任务和内存观察	查启动失败、卡顿、失控循环
画面、音频及触发操作	复现内容与玩法问题

跨域资源 timing 可能受限制而返回 0，不能据此宣称零流量；结合网络面板或网关日志判断。大 PCK/WASM 在同一页面中通常只需加载一次。整页刷新可能重新下载，需验证实际缓存行为，不能只看到 immutable 就承诺命中。

标记持续高频请求、无限重试、失败后无退避、同一资源反复下载、循环预加载、巨量无用资源、挖矿或异常占用等行为。先给出 URL、次数、字节和触发路径证据，再区分必要玩法与异常行为；不把所有大游戏直接判成违规。

修复重试时设置次数上限和退避，保留用户重试入口；不要反复初始化引擎来刷新排行榜或登录状态。资源版本化应能稳定缓存，避免每次请求附加时间戳。

覆盖登录返回/账号切换，支付取消/失败/结果未知后的服务端状态核对，榜单相同 runId 的冻结数据重试，广告取消/无填充/重复完成，存档冲突/游客隔离，以及暂停和音频原状态恢复。分别测试游戏自绘 UI 和平台 UI。

记录具体画面、文本、音频及素材来源，区分确定观察、疑点和未覆盖区域。角色形象、音乐、字体等缺乏权利证据时列为待核实；AI 生成或作者上传本身不是完整授权证明。平台审核最终决定是否公开展示及商业化。

一次运行不能证明全部隐藏流程安全或全面合规。报告需要注明观察时长、触发路径、设备/浏览器、模拟数据与真实服务边界。不要把本地 mock 成功写成真实支付或真实广告验收。