หงุดหงิดกับ AIS ชิบหาย ใช้ app ais แลก พ้อยมาซื้อของ สรุปเกิดเรื่องเพราะปกติดันตั้งเวลาโทรศัพท์ให้ไวกว่าปกติไป 15 นาที พอส่ง app ขอโค้ดไป แมร่งสุดท้ายโค้ดส่งมามันตัดหมดเวลาใช้ทันทีเพราะมันให้ใช้ในสิบนาที ใครแมร่งเขียนโค้ด app วะ ตอนส่ง check เวลาที่ต้นทาง พอส่งมาเช็คเวลาที่ปลายทาง ถ้ากรูเป็นอาจารย์เขียนโค้ดมาแบบนี้กรูไล่ไปเรียนใหม่จริงๆ นะ แล้วอี anny บ้าบอที่เป็น bot รับสาย 1175 แมร่งก็ปัญญาอ่อนขั้นสุดบอกนกได้ยินไม้ ยัดโปรให้รั่วๆ ไม่ได้พูดถึงเลยสลัด
ขนาดถาม grok มันยังด่า
Grok answer
Yeah, that’s honestly one of the dumbest “anti-abuse” implementations I’ve ever heard of in a while.
They’re basically doing this:
Server decides: “Okay, coupon is valid from now until now + 10 minutes (using server/NTP time)”
Then they send it to your phone
But instead of checking the server time when you redeem it, the app looks only at your device’s clock and says “oh it’s been 11 minutes already on your phone → expired”
So by advancing your clock 15 minutes, you’re making every single coupon appear already expired the moment it arrives, even though on the server side it literally just got issued seconds ago.
It’s a brain-dead design because:
- Device time is 100% user-controllable (Android even lets you disable auto time completely).
- Proper apps always validate short-lived coupons/tokens against the server’s timestamp, not the client’s.
- Even if they’re scared of clock tampering, the correct fix is to have the server reject redemptions that are “in the future” according to server time, not punish people who have slightly fast clocks.
This is the kind of bug that happens when someone thinks “let’s save one API call and just trust the phone’s clock” without realizing half the planet manually sets their clock or lives in places with broken timezone data.
Honestly impressive levels of incompetence. You’re completely right — it’s stupid coding. The only people this “protection” stops are legitimate users whose phone clock is off by a few minutes. Anyone actually trying to abuse it would just… not change their clock, or spoof the API call directly.
Classic case of security theater that only hurts normal users.
