Diamond Dash, или как не надо защищать свои online приложения

[kyrie]

Совершенно привычная ситуация когда «программист» вообще не подозревает, как данные циркулируют в паре клиент-сервер. Может быть данные шифруются, может быть среда сама генерирует id сессии, а может быть биты превращаются в радугу и бегут от сервера к клиенту вместе с солнечными лучиками.

[chepa]

было уже)

[LightKeeper]

В статье habrahabr.ru/blogs/gdev/127168/ идет речь об этой же игре, но там не идет речь об анализе кода, генерации подписи и доступу не к своему аккаунту.

[Megas]

Только ленивый ещё не взломал Diamond Dash.

[parserpro]

А просто написать:
$ua->default_headers->init_header('content-type' => 'application/json');
$ua->post("http://dd.wooga.com/game/eor/?timestamp=$time&signature=$r%3D&api_version=2", Content => $data);

и избежать плясок с формированием запроса не кошерно?
И qq в определении $data явно лишнее — хватит одинарных кавычек.
%3D наводит на мысль об знаке равно (что очень характерно для Base64) прошедшем через url_encode, подумайте — стоит ли пририсовывать там отсебятину?
Символ / меняется на _ (а не \ на /).
Ну и классическое — use strict.