roblox-security

Never trust the client. Every LocalScript runs on the player's machine and can be modified. All authoritative logic — damage, currency, stats, position changes — must live on the server.

FilteringEnabled is always on in modern Roblox. Client-side changes do not replicate to the server or other clients unless the server explicitly applies them.

| Dealing damage | LocalScript sets Humanoid.Health | Server reduces health after validation | | Awarding currency | LocalScript increments leaderstats | Server validates action, then increments | | Leaderstats ownership | LocalScript owns the IntValue | Server creates and owns all leaderstats |

プレイヤーのアクション、通貨、統計、ダメージ、または RemoteEvent/RemoteFunction 通信を処理する Roblox ゲーム スクリプトを作成するときに使用します。悪用可能なパターンのコードをレビューする場合、チート対策ロジックを実装する場合、サーバー上でクライアント要求を検証する場合、またはレート制限を設定する場合に使用します。 ソース: sentinelcore/roblox-skills。