## 一、支付:改由已安装的 epay 插件承载(不再自研签名)
- 下单:\addons\epay\library\Service::submitOrder($amount 元, $orderNo, 'wechat', $body, $notifyUrl, null, 'miniapp', $openid)
- 验签:Service::checkNotify('wechat')(内部 $pay->verify());应答:$pay->success()(v2 = XML)
- 业务编排仍在 application/api/controller/Pay.php,不改插件源码:
POST /pay/prepay(取调起参数,下发前剔除 appId);POST /pay/notify(公开路由:插件验签 → 金额核对 → 幂等分派)
- 配置真源 = addons/epay/config.php(后台「插件管理 → 微信支付宝整合插件 → 配置」);
fc_config 的 wx.mchId / wx.apiKey / wx.payNotifyUrl 废弃;后台「系统设置」支付表单改只读并跳插件配置页
- 插件 API 保持 version=v2(PHP 7.4 可跑);certs/* 为 0 字节占位,不含任何真实密钥
- 修复 BUG-015:Pay::notify() 与基类站内信同名且签名不兼容导致 /pay/* 全 500,动作改名 notifyCallback()
## 二、插件纳入 Git 版本管理
- .gitignore 移除 /addons/* 与 /public/assets/addons/*(保留 .gitkeep 占位)
- 入库 addons/epay、addons/wechat、public/assets/addons/*、addons/.htaccess(deny from all)
- config.php 入库为空白模板;服务器请在填好密钥后执行
git update-index --skip-worktree addons/epay/config.php,避免真实密钥回传仓库
## 三、安全修复:余额充值资损(高危,已实测复现)
- 现象:POST /order/recharge {payType:'balance'} 只加余额不扣款(余额 134.50 → 1022.50),等于凭空增发余额,
可再去买会员 / 付费发布 / 解锁联系方式
- 修复:/order/recharge 仅接受 payType=wxpay,balance → 「余额充值仅支持微信支付」,其它 → 「支付方式不支持」;
订单恒为 status=pending、pay_type=wxpay、paytime=null;入账只发生在 /pay/notify 回调(Order::creditRecharge)
或后台「会员管理 → 余额充值」(fc/userext/recharge)
- 小程序充值页同步为「仅微信支付」+ 防重复提交 + onShow 刷新资产;mock / 用例 / 文档同步
## 四、其他 v1.1.0 能力
- 媒体上传:POST /post/upload(图片 ≤10MB / 视频 ≤50MB,真落盘),发布页 uni.uploadFile 真上传
- LBS:fc_post.lat/lng、首页 sort=nearby(距离升序、无坐标排最后)、卡片 distance、详情页地图
- 互动:举报 POST /report(原因字典)、收藏 / 关注(fc_favorite / fc_follow、/favorite/*、/follow/toggle)
- 交易:余额充值 POST /order/recharge、优惠券 /coupon/list|receive(fc_coupon / fc_user_coupon、我的资产券)
- 发布计费:会员发布折扣(discountRate/discountText)+ 免费发布条数(freeQuota*)
- 后台新增:数据总览 fc/dashboard、系统设置 fc/setting、优惠券管理 fc/coupon(含菜单与权限节点)
## 五、本批审核修复
- 详情页:游客不再请求登录态接口(避免 401 被清 token 踢去登录);微信付费查看改为支付后轮询解锁,
不再读取 wxpay 分支未返回的 contact;加防重复提交
- 发布页:freeLeftToday → freeQuotaLeft / freeQuotaCycle / freeUnlimited(对齐后端出参);
上传图预览拼后端域名(新增 format.js#assetUrl,后端返回相对路径)
- 收藏空态「去首页」:switchTab → reLaunch(项目用自绘 fc-tabbar,无 tabBar,switchTab 必然失败)
- 会员券 days=0 显示「永久有效」;manifest.json 补 requiredPrivateInfos(getLocation / chooseLocation)
- 后端:publishConfig 补 discountRate/discountText 与 memberPostDiscountText();优惠券总开关 coupon.enabled
真生效(关闭后 list/receive 拒绝);后台 fc/Coupon 的 add/edit 补 strip_tags 过滤(防存储型 XSS)、
补 searchFields='name',列表 name 列再做一次 HTML 转义
- FcInstall:补清理后台菜单缓存 __menu__(否则新菜单要等缓存过期才显示),并同步 README 说明
- 后台语言包 fc/setting.php 按「支付只读 + 跳插件配置」的新页面重写
- 文档同步:uniapp/docs/{01,03,04}、uniapp/README.md、docs/05-后端实现规范.md、后台 README 上线步骤
## 六、校验结果(全部通过)
- 后端端到端:tools/verify-api.mjs 226/226(含新增「拒绝余额充值(资损防护)」用例)
- 小程序:uniapp/tests/run.mjs 167/167;validate.mjs 0 错 0 警;check-scss 19/19
- 后台:check-admin-i18n 0 错 0 警;check-theme 0 错 0 警;9 个页面 HTTP 200 全中文
- php -l 改动/新增 PHP 文件 0 语法错误;探针复测:余额不再增长、epay 插件下单/验签链路通
169 行
6.9 KiB
PHP
169 行
6.9 KiB
PHP
<?php
|
||
|
||
namespace app\admin\controller\fc;
|
||
|
||
use app\common\controller\Backend;
|
||
use think\Db;
|
||
|
||
/**
|
||
* 同城-系统设置
|
||
*
|
||
* 页面职责(同一路由 fc/setting/index):
|
||
* ① 基础配置 base.appName / base.logo / base.servicePhone / base.aboutUs / base.shareTitle(可保存)
|
||
* ② 支付配置 **只读展示** —— 支付能力已改由 epay 插件承载,商户号/密钥/小程序 AppID 的真源是
|
||
* 「插件管理 → 微信支付宝整合插件 → 配置」(持久化在 addons/epay/config.php)。
|
||
* 本页只显示插件配置的就绪状态并给出跳转,**不再**维护 wx.mchId / wx.apiKey / wx.payNotifyUrl
|
||
* (这三个 fc_config 键已废弃,避免出现「两份配置、改了一份不生效」)。
|
||
*
|
||
* 键名以 Api 端现有实现为准,保证「后台写入」与「Api 读取」是同一份 fc_config:
|
||
* - 基础配置与 application/api/controller/AdminSetting.php::base() 完全一致(base.*)。
|
||
*
|
||
* @icon fa fa-cogs
|
||
*/
|
||
class Setting extends Backend
|
||
{
|
||
/**
|
||
* 配置页(GET 显示 / POST 保存基础配置)
|
||
*/
|
||
public function index()
|
||
{
|
||
if ($this->request->isPost()) {
|
||
return $this->save();
|
||
}
|
||
|
||
$this->view->assign('row', $this->current());
|
||
$this->view->assign('pay', $this->payStatus());
|
||
return $this->view->fetch();
|
||
}
|
||
|
||
/**
|
||
* 保存基础配置
|
||
*
|
||
* 说明:支付配置已迁到插件页,本页不再接收 group=pay 的提交(如提交则给出明确指引)。
|
||
*/
|
||
protected function save()
|
||
{
|
||
$params = $this->request->post('row/a');
|
||
if (!is_array($params)) {
|
||
$params = $this->request->post();
|
||
}
|
||
$group = isset($params['group']) ? trim((string)$params['group']) : 'base';
|
||
|
||
if ($group === 'pay') {
|
||
$this->error('微信支付参数已改由插件维护,请到「插件管理 → 微信支付宝整合插件 → 配置」填写');
|
||
}
|
||
|
||
$appName = isset($params['appName']) ? trim((string)$params['appName']) : '';
|
||
if ($appName === '') {
|
||
$this->error('小程序名称不能为空');
|
||
}
|
||
|
||
$this->setConfig([
|
||
'base.appName' => ['value' => $appName, 'group_key' => 'base', 'remark' => '小程序名称'],
|
||
'base.logo' => ['value' => isset($params['logo']) ? trim((string)$params['logo']) : '', 'group_key' => 'base', 'remark' => 'LOGO地址'],
|
||
'base.servicePhone' => ['value' => isset($params['servicePhone']) ? trim((string)$params['servicePhone']) : '', 'group_key' => 'base', 'remark' => '客服电话'],
|
||
'base.aboutUs' => ['value' => isset($params['aboutUs']) ? trim((string)$params['aboutUs']) : '', 'group_key' => 'base', 'remark' => '关于我们'],
|
||
'base.shareTitle' => ['value' => isset($params['shareTitle']) ? trim((string)$params['shareTitle']) : '', 'group_key' => 'base', 'remark' => '分享标题'],
|
||
]);
|
||
|
||
$this->success('基础配置已保存');
|
||
return null;
|
||
}
|
||
|
||
/**
|
||
* 批量写入 fc_config(存在则更新,不存在则新增)
|
||
*
|
||
* @param array $values 结构:键名 => ['value' => 值, 'group_key' => 分组, 'remark' => 备注]
|
||
*/
|
||
protected function setConfig(array $values)
|
||
{
|
||
$now = time();
|
||
foreach ($values as $key => $item) {
|
||
$exist = Db::name('fc_config')->where('key', $key)->find();
|
||
if ($exist) {
|
||
Db::name('fc_config')->where('key', $key)->update([
|
||
'value' => (string)$item['value'],
|
||
'group_key' => $item['group_key'],
|
||
'updatetime' => $now,
|
||
]);
|
||
} else {
|
||
Db::name('fc_config')->insert([
|
||
'key' => $key,
|
||
'value' => (string)$item['value'],
|
||
'group_key' => $item['group_key'],
|
||
'remark' => $item['remark'],
|
||
'createtime' => $now,
|
||
'updatetime' => $now,
|
||
]);
|
||
}
|
||
}
|
||
}
|
||
|
||
/**
|
||
* 当前基础配置(缺失时回落内置默认值)
|
||
*/
|
||
protected function current()
|
||
{
|
||
$cfg = [];
|
||
foreach (Db::name('fc_config')->select() as $row) {
|
||
$cfg[$row['key']] = $row['value'];
|
||
}
|
||
$pick = function ($key, $default) use ($cfg) {
|
||
return (isset($cfg[$key]) && $cfg[$key] !== '') ? $cfg[$key] : $default;
|
||
};
|
||
|
||
return [
|
||
'appName' => $pick('base.appName', '同城分类信息'),
|
||
'logo' => $pick('base.logo', ''),
|
||
'servicePhone' => $pick('base.servicePhone', '400-000-0000'),
|
||
'aboutUs' => $pick('base.aboutUs', ''),
|
||
'shareTitle' => $pick('base.shareTitle', ''),
|
||
];
|
||
}
|
||
|
||
/**
|
||
* 支付配置状态(只读,数据来自 epay 插件配置)
|
||
*
|
||
* @return array 插件是否安装 / 是否就绪 / 关键项是否填写 / 回调地址 / 配置页地址 / 配置文件名
|
||
*/
|
||
protected function payStatus()
|
||
{
|
||
$info = (array)get_addon_info('epay');
|
||
$addonConfig = (array)get_addon_config('epay');
|
||
$wx = (isset($addonConfig['wechat']) && is_array($addonConfig['wechat'])) ? $addonConfig['wechat'] : [];
|
||
$mode = isset($wx['mode']) ? (string)$wx['mode'] : 'normal';
|
||
|
||
// 与用户端 Pay::epayReady() 同一判定口径
|
||
if ($mode === 'service') {
|
||
$ready = !empty($wx['sub_mch_id']) && !empty($wx['key']) && !empty($wx['sub_miniapp_id']);
|
||
} else {
|
||
$ready = !empty($wx['miniapp_id']) && !empty($wx['mch_id']) && !empty($wx['key']);
|
||
}
|
||
|
||
return [
|
||
'installed' => !empty($info),
|
||
'ready' => $ready,
|
||
'version' => isset($addonConfig['version']) ? (string)$addonConfig['version'] : '',
|
||
'mode' => $mode === 'service' ? 'service' : 'normal',
|
||
'miniappId' => isset($wx['miniapp_id']) ? (string)$wx['miniapp_id'] : '',
|
||
'mchId' => isset($wx['mch_id']) ? (string)$wx['mch_id'] : '',
|
||
'hasKey' => !empty($wx['key']),
|
||
'notifyUrl' => $this->notifyUrl(),
|
||
'configUrl' => url('addon/config', ['name' => 'epay']),
|
||
'configFile' => 'addons/epay/config.php',
|
||
];
|
||
}
|
||
|
||
/**
|
||
* 微信支付回调地址(与服务端 Pay::notifyUrl() 同一算法:当前域名 + 固定路径)
|
||
*/
|
||
protected function notifyUrl()
|
||
{
|
||
$base = rtrim((string)$this->request->root(true), '/');
|
||
// 去掉入口文件(后台入口 s.php / 前台 index.php),展示与真实回调地址保持一致
|
||
$base = preg_replace('#/[a-zA-Z0-9_\-]+\.php$#i', '', $base);
|
||
|
||
return ($base !== '' ? $base : rtrim((string)$this->request->domain(), '/')) . '/api/v1/pay/notify';
|
||
}
|
||
}
|