Первое же место, занятое обманом, убивает таблицу лидеров: в неё перестают верить, и она превращается в мёртвый интерфейс. Защищаться надо архитектурой, а не запретами.
Подделкой запроса. Если игра отправляет на сервер «мой результат 9999», этот запрос можно повторить руками, не запуская игру вообще. Это самый частый случай и самый простой.
Изменением кода на своей стороне. Всё, что выполняется в браузере, пользователь может прочитать и поменять. Любая проверка, живущая только у клиента, обходится.
Ускорением времени. Если игра считает результат по своим часам, их можно замедлить и получить преимущество.
Считать результат на сервере. Клиент присылает не итог, а происходящее: где он был, что нажал. Сервер воспроизводит это у себя и получает результат сам.
Делать мир воспроизводимым. Если уровень целиком выводится из одного числа-семени, сервер может повторить ту же самую ситуацию и проверить, было ли заявленное событие возможно.
Проверять правдоподобность. Прогресс быстрее физически возможного, слишком частые обращения, невозможные сочетания действий — всё это отсекается простыми правилами.
Ограничивать частоту. Даже если способ накрутки найден, ограничение по числу попыток не даёт превратить его в поток.
Полной защиты не существует: код на стороне игрока принципиально недоверенный. Задача не «сделать невозможным», а «сделать невыгодным» — чтобы усилий требовалось больше, чем стоит приз.
Практическое правило: чем ценнее награда, тем строже проверка. Для внутреннего рейтинга ради интереса хватит серверного подсчёта. Если по таблице раздают реальные призы, добавляют ручную проверку победителей перед выдачей.
Частично. Если результат изначально считается на клиенте, придётся переносить логику на сервер — это переделка, а не настройка. Дешевле закладывать сразу.
Нужна, если есть публичный рейтинг. Люди накручивают ради места в таблице, даже когда за него ничего не дают.