## 一、支付:改由已安装的 epay 插件承载(不再自研签名)
- 下单:\addons\epay\library\Service::submitOrder($amount 元, $orderNo, 'wechat', $body, $notifyUrl, null, 'miniapp', $openid)
- 验签:Service::checkNotify('wechat')(内部 $pay->verify());应答:$pay->success()(v2 = XML)
- 业务编排仍在 application/api/controller/Pay.php,不改插件源码:
POST /pay/prepay(取调起参数,下发前剔除 appId);POST /pay/notify(公开路由:插件验签 → 金额核对 → 幂等分派)
- 配置真源 = addons/epay/config.php(后台「插件管理 → 微信支付宝整合插件 → 配置」);
fc_config 的 wx.mchId / wx.apiKey / wx.payNotifyUrl 废弃;后台「系统设置」支付表单改只读并跳插件配置页
- 插件 API 保持 version=v2(PHP 7.4 可跑);certs/* 为 0 字节占位,不含任何真实密钥
- 修复 BUG-015:Pay::notify() 与基类站内信同名且签名不兼容导致 /pay/* 全 500,动作改名 notifyCallback()
## 二、插件纳入 Git 版本管理
- .gitignore 移除 /addons/* 与 /public/assets/addons/*(保留 .gitkeep 占位)
- 入库 addons/epay、addons/wechat、public/assets/addons/*、addons/.htaccess(deny from all)
- config.php 入库为空白模板;服务器请在填好密钥后执行
git update-index --skip-worktree addons/epay/config.php,避免真实密钥回传仓库
## 三、安全修复:余额充值资损(高危,已实测复现)
- 现象:POST /order/recharge {payType:'balance'} 只加余额不扣款(余额 134.50 → 1022.50),等于凭空增发余额,
可再去买会员 / 付费发布 / 解锁联系方式
- 修复:/order/recharge 仅接受 payType=wxpay,balance → 「余额充值仅支持微信支付」,其它 → 「支付方式不支持」;
订单恒为 status=pending、pay_type=wxpay、paytime=null;入账只发生在 /pay/notify 回调(Order::creditRecharge)
或后台「会员管理 → 余额充值」(fc/userext/recharge)
- 小程序充值页同步为「仅微信支付」+ 防重复提交 + onShow 刷新资产;mock / 用例 / 文档同步
## 四、其他 v1.1.0 能力
- 媒体上传:POST /post/upload(图片 ≤10MB / 视频 ≤50MB,真落盘),发布页 uni.uploadFile 真上传
- LBS:fc_post.lat/lng、首页 sort=nearby(距离升序、无坐标排最后)、卡片 distance、详情页地图
- 互动:举报 POST /report(原因字典)、收藏 / 关注(fc_favorite / fc_follow、/favorite/*、/follow/toggle)
- 交易:余额充值 POST /order/recharge、优惠券 /coupon/list|receive(fc_coupon / fc_user_coupon、我的资产券)
- 发布计费:会员发布折扣(discountRate/discountText)+ 免费发布条数(freeQuota*)
- 后台新增:数据总览 fc/dashboard、系统设置 fc/setting、优惠券管理 fc/coupon(含菜单与权限节点)
## 五、本批审核修复
- 详情页:游客不再请求登录态接口(避免 401 被清 token 踢去登录);微信付费查看改为支付后轮询解锁,
不再读取 wxpay 分支未返回的 contact;加防重复提交
- 发布页:freeLeftToday → freeQuotaLeft / freeQuotaCycle / freeUnlimited(对齐后端出参);
上传图预览拼后端域名(新增 format.js#assetUrl,后端返回相对路径)
- 收藏空态「去首页」:switchTab → reLaunch(项目用自绘 fc-tabbar,无 tabBar,switchTab 必然失败)
- 会员券 days=0 显示「永久有效」;manifest.json 补 requiredPrivateInfos(getLocation / chooseLocation)
- 后端:publishConfig 补 discountRate/discountText 与 memberPostDiscountText();优惠券总开关 coupon.enabled
真生效(关闭后 list/receive 拒绝);后台 fc/Coupon 的 add/edit 补 strip_tags 过滤(防存储型 XSS)、
补 searchFields='name',列表 name 列再做一次 HTML 转义
- FcInstall:补清理后台菜单缓存 __menu__(否则新菜单要等缓存过期才显示),并同步 README 说明
- 后台语言包 fc/setting.php 按「支付只读 + 跳插件配置」的新页面重写
- 文档同步:uniapp/docs/{01,03,04}、uniapp/README.md、docs/05-后端实现规范.md、后台 README 上线步骤
## 六、校验结果(全部通过)
- 后端端到端:tools/verify-api.mjs 226/226(含新增「拒绝余额充值(资损防护)」用例)
- 小程序:uniapp/tests/run.mjs 167/167;validate.mjs 0 错 0 警;check-scss 19/19
- 后台:check-admin-i18n 0 错 0 警;check-theme 0 错 0 警;9 个页面 HTTP 200 全中文
- php -l 改动/新增 PHP 文件 0 语法错误;探针复测:余额不再增长、epay 插件下单/验签链路通
145 行
5.0 KiB
PHP
145 行
5.0 KiB
PHP
<?php
|
||
|
||
namespace app\api\controller;
|
||
|
||
use think\Db;
|
||
|
||
/**
|
||
* 用户端 · 优惠券(Module-COUPON)
|
||
* 路由:
|
||
* GET /api/v1/coupon/list 可领取优惠券分页列表(带 received 已领取标记)
|
||
* POST /api/v1/coupon/receive 领取优惠券
|
||
*
|
||
* 数据表:fa_fc_coupon(券模板)/ fa_fc_user_coupon(领取记录)。
|
||
* 说明:本轮仅做「领取 + 我的资产展示」,**不含下单抵扣**(下单抵扣在后续版本接入)。
|
||
*/
|
||
class Coupon extends V1
|
||
{
|
||
/**
|
||
* 优惠券功能总开关(后台「系统设置」写入 fc_config 的 coupon.enabled,默认开启)
|
||
* 关闭后用户端列表/领取一律拒绝,避免「后台关了前端还能领」。
|
||
*/
|
||
protected function assertEnabled()
|
||
{
|
||
if (!(int)$this->cfg('coupon.enabled', 1)) {
|
||
$this->fail('优惠券功能暂未开放');
|
||
}
|
||
}
|
||
|
||
/**
|
||
* GET /api/v1/coupon/list {page,size}
|
||
* → 分页 {list,page,size,total,hasMore}
|
||
* 列表项:{id,couponId,name,type,amount,minAmount,total,receivedCount,left,days,received,createdAt}
|
||
* 规则:仅 enabled=1(停用券不下发);received 表示「当前用户是否已领取」;
|
||
* left = 剩余可领数量(-1 表示不限量);total=0 表示不限量。
|
||
*/
|
||
public function list()
|
||
{
|
||
$this->assertEnabled();
|
||
$user = $this->auth();
|
||
|
||
list($rows, $total, $page, $size) = $this->pageQuery(function ($forCount) {
|
||
$q = Db::name('fc_coupon')->where('enabled', 1);
|
||
if ($forCount) {
|
||
return $q;
|
||
}
|
||
return $q->order('sort desc, id desc');
|
||
});
|
||
|
||
$list = [];
|
||
foreach ($rows as $row) {
|
||
$received = (bool)Db::name('fc_user_coupon')
|
||
->where('user_id', $user['id'])
|
||
->where('coupon_id', $row['id'])
|
||
->find();
|
||
$list[] = $this->couponItem($row, $received);
|
||
}
|
||
|
||
$this->ok($this->paginate($list, $total, $page, $size));
|
||
}
|
||
|
||
/**
|
||
* POST /api/v1/coupon/receive {couponId}
|
||
* → {userCouponId}
|
||
* 规则:券必须存在且 enabled=1;领完 → fail('优惠券已领完');
|
||
* 同一用户同一张券只能领一次 → fail('您已领取过该优惠券');
|
||
* days>0 时按「领取时间 + days 天」写过期时间,days=0 表示永久有效。
|
||
*/
|
||
public function receive()
|
||
{
|
||
$this->assertEnabled();
|
||
$user = $this->auth();
|
||
$couponId = (int)$this->input('couponId', 0);
|
||
|
||
$coupon = $couponId > 0 ? Db::name('fc_coupon')->where('id', $couponId)->find() : null;
|
||
if (!$coupon || (int)$coupon['enabled'] !== 1) {
|
||
$this->fail('优惠券不存在');
|
||
}
|
||
|
||
$total = (int)$coupon['total'];
|
||
$receivedCount = (int)$coupon['received'];
|
||
if ($total > 0 && $receivedCount >= $total) {
|
||
$this->fail('优惠券已领完');
|
||
}
|
||
|
||
$exist = Db::name('fc_user_coupon')
|
||
->where('user_id', $user['id'])
|
||
->where('coupon_id', $couponId)
|
||
->find();
|
||
if ($exist) {
|
||
$this->fail('您已领取过该优惠券');
|
||
}
|
||
|
||
$now = time();
|
||
$days = max(0, (int)$coupon['days']);
|
||
|
||
try {
|
||
$userCouponId = Db::name('fc_user_coupon')->insertGetId([
|
||
'user_id' => $user['id'],
|
||
'coupon_id' => $couponId,
|
||
'status' => 'unused',
|
||
'order_no' => '',
|
||
'usetime' => null,
|
||
'expiretime' => $days > 0 ? $now + $days * 86400 : null,
|
||
'createtime' => $now,
|
||
]);
|
||
} catch (\Exception $e) {
|
||
// 并发重复领取兜底
|
||
$this->fail('您已领取过该优惠券');
|
||
}
|
||
|
||
// 已领取数 +1(setInc 自增,避免并发覆盖)
|
||
Db::name('fc_coupon')->where('id', $couponId)->setInc('received', 1);
|
||
|
||
$this->ok(['userCouponId' => $userCouponId]);
|
||
}
|
||
|
||
/**
|
||
* 券模板 → 列表项
|
||
* @param array $row fc_coupon 行
|
||
* @param bool $received 当前用户是否已领取
|
||
* @return array
|
||
*/
|
||
protected function couponItem($row, $received)
|
||
{
|
||
$total = (int)$row['total'];
|
||
$receivedCount = (int)$row['received'];
|
||
|
||
return [
|
||
'id' => (int)$row['id'],
|
||
'couponId' => (int)$row['id'],
|
||
'name' => (string)$row['name'],
|
||
'type' => (string)$row['type'],
|
||
'amount' => (float)$row['amount'],
|
||
'minAmount' => (float)$row['min_amount'],
|
||
'total' => $total,
|
||
'receivedCount' => $receivedCount,
|
||
// -1 表示不限量(total=0)
|
||
'left' => $total > 0 ? max(0, $total - $receivedCount) : -1,
|
||
'days' => (int)$row['days'],
|
||
'received' => (bool)$received,
|
||
'createdAt' => $this->iso($row['createtime']),
|
||
];
|
||
}
|
||
}
|