VeloAuth

VeloAuth — это плагин для прокси Velocity, обрабатывающий авторизацию игроков до их подключения к серверам. Он обеспечивает автоматический вход для владельцев аккаунтов Mojang, безопасную регистрацию оффлайн-игроков с использованием BCrypt и защиту от кражи никнеймов.

Главное отличие VeloAuth от стандартных решений — возможность выбора режима работы с никнеймами. В режиме «Mixed strict» (рекомендуемый) премиум-аккаунты получают реальные UUID, а оффлайн-игроки регистрируются с хешированием пароля, при этом никнеймы, занятые премиум-пользователями, недоступны для регистрации. В режиме «Cracked-only» отключается проверка аккаунтов Mojang, что экономит трафик, но отключает автологин для премиум-игроков. Режим «Permissive mixed» позволяет оффлайн-игрокам регистрироваться под никнеймами, которые уже используются премиум-аккаунтами, но новые премиум-игроки без предварительной регистрации получат оффлайн-UUID.

Система поддерживает автоматическое обнаружение смены никнейма владельцем Mojang-аккаунта и обновление записи в базе данных. Для защиты от перебора паролей используется алгоритм BCrypt с защитой от брутфорса и атомарная регистрация первого владельца никнейма. Опционально доступна поддержка Floodgate для Bedrock-клиентов: аккаунты, подтверждённые Floodgate, могут проходить аутентификацию без обращения к серверу Mojang.

Для управления сессиями предусмотрены команды /register, /login, /logout, /changepassword для игроков и расширенные административные команды (/vauth reload, /vauth report, /vauth conflicts, /vauth cache-reset). Команды авторизации (/login, /register) автоматически скрыты от игроков, находящихся в процессе авторизации, и становятся доступны только после истечения сессии или выхода из неё.

VeloAuth поддерживает встроенный лимбо (limbo) на базе версии 1.8 с проверенным временем выполнения ViaVersion, который работает в режиме loopback. Это позволяет использовать плагин без внешних серверов ожидания, хотя поддержка внешних решений (NanoLimbo, LOOHP/Limbo, LimboService, PicoLimbo) сохраняется. Также реализована поддержка forced-hosts: игроки, подключающиеся через кастомные домены, после аутентификации перенаправляются напрямую на целевой сервер, минуя лобби.

Для повышения производительности используется трёхуровневый кеш премиум-статуса (память → база данных → API Mojang/Ashcon) и виртуальные потоки (Java 21), что исключает блокировку циклов событий Velocity. Поддерживаются несколько типов баз данных: MySQL, PostgreSQL, H2 (по умолчанию) и SQLite с использованием пула соединений HikariCP. Опционально доступна двухфакторная аутентификация (TOTP) по стандарту RFC 6238, совместимая с Google Authenticator, Authy и Aegis.

Плагин поддерживает 17 языков интерфейса (включая русский) с поддержкой форматирования цветов через HEX/RGB. Реализована полная совместимость со схемой базы данных LimboAuth: миграция происходит автоматически и аддитивно при запуске, без необходимости ручного переписывания UUID. Администраторы могут получать уведомления через вебхуки Discord при обнаружении аномалий безопасности или всплесков ошибок резолвера.

При настройке профиля работы в файле config.yml можно задать сложность паролей (минимальная/максимальная длина, требование цифр, заглавных/строчных букв и спецсимволов). Для диагностики и отладки доступен инструмент /vauth report, который формирует и загружает на сервер mclo.gs обезличенный пакет с информацией о состоянии кэша, потоков и подключений. Встроенные инструменты здоровья системы позволяют отслеживать статистику в реальном времени через команду /vauth stats.