文件
fenleixinxi/application/admin/controller/fc/Coupon.php
MiAn 63fdfe87d7 feat(v1.1.0): 支付改由 epay 插件承载、插件纳入版本库,补齐媒体上传/LBS/互动/优惠券/后台看板,并修复余额充值资损
## 一、支付:改由已安装的 epay 插件承载(不再自研签名)
- 下单:\addons\epay\library\Service::submitOrder($amount 元, $orderNo, 'wechat', $body, $notifyUrl, null, 'miniapp', $openid)
- 验签:Service::checkNotify('wechat')(内部 $pay->verify());应答:$pay->success()(v2 = XML)
- 业务编排仍在 application/api/controller/Pay.php,不改插件源码:
  POST /pay/prepay(取调起参数,下发前剔除 appId);POST /pay/notify(公开路由:插件验签 → 金额核对 → 幂等分派)
- 配置真源 = addons/epay/config.php(后台「插件管理 → 微信支付宝整合插件 → 配置」);
  fc_config 的 wx.mchId / wx.apiKey / wx.payNotifyUrl 废弃;后台「系统设置」支付表单改只读并跳插件配置页
- 插件 API 保持 version=v2(PHP 7.4 可跑);certs/* 为 0 字节占位,不含任何真实密钥
- 修复 BUG-015:Pay::notify() 与基类站内信同名且签名不兼容导致 /pay/* 全 500,动作改名 notifyCallback()

## 二、插件纳入 Git 版本管理
- .gitignore 移除 /addons/* 与 /public/assets/addons/*(保留 .gitkeep 占位)
- 入库 addons/epay、addons/wechat、public/assets/addons/*、addons/.htaccess(deny from all)
- config.php 入库为空白模板;服务器请在填好密钥后执行
  git update-index --skip-worktree addons/epay/config.php,避免真实密钥回传仓库

## 三、安全修复:余额充值资损(高危,已实测复现)
- 现象:POST /order/recharge {payType:'balance'} 只加余额不扣款(余额 134.50 → 1022.50),等于凭空增发余额,
  可再去买会员 / 付费发布 / 解锁联系方式
- 修复:/order/recharge 仅接受 payType=wxpay,balance → 「余额充值仅支持微信支付」,其它 → 「支付方式不支持」;
  订单恒为 status=pending、pay_type=wxpay、paytime=null;入账只发生在 /pay/notify 回调(Order::creditRecharge)
  或后台「会员管理 → 余额充值」(fc/userext/recharge)
- 小程序充值页同步为「仅微信支付」+ 防重复提交 + onShow 刷新资产;mock / 用例 / 文档同步

## 四、其他 v1.1.0 能力
- 媒体上传:POST /post/upload(图片 ≤10MB / 视频 ≤50MB,真落盘),发布页 uni.uploadFile 真上传
- LBS:fc_post.lat/lng、首页 sort=nearby(距离升序、无坐标排最后)、卡片 distance、详情页地图
- 互动:举报 POST /report(原因字典)、收藏 / 关注(fc_favorite / fc_follow、/favorite/*、/follow/toggle)
- 交易:余额充值 POST /order/recharge、优惠券 /coupon/list|receive(fc_coupon / fc_user_coupon、我的资产券)
- 发布计费:会员发布折扣(discountRate/discountText)+ 免费发布条数(freeQuota*)
- 后台新增:数据总览 fc/dashboard、系统设置 fc/setting、优惠券管理 fc/coupon(含菜单与权限节点)

## 五、本批审核修复
- 详情页:游客不再请求登录态接口(避免 401 被清 token 踢去登录);微信付费查看改为支付后轮询解锁,
  不再读取 wxpay 分支未返回的 contact;加防重复提交
- 发布页:freeLeftToday → freeQuotaLeft / freeQuotaCycle / freeUnlimited(对齐后端出参);
  上传图预览拼后端域名(新增 format.js#assetUrl,后端返回相对路径)
- 收藏空态「去首页」:switchTab → reLaunch(项目用自绘 fc-tabbar,无 tabBar,switchTab 必然失败)
- 会员券 days=0 显示「永久有效」;manifest.json 补 requiredPrivateInfos(getLocation / chooseLocation)
- 后端:publishConfig 补 discountRate/discountText 与 memberPostDiscountText();优惠券总开关 coupon.enabled
  真生效(关闭后 list/receive 拒绝);后台 fc/Coupon 的 add/edit 补 strip_tags 过滤(防存储型 XSS)、
  补 searchFields='name',列表 name 列再做一次 HTML 转义
- FcInstall:补清理后台菜单缓存 __menu__(否则新菜单要等缓存过期才显示),并同步 README 说明
- 后台语言包 fc/setting.php 按「支付只读 + 跳插件配置」的新页面重写
- 文档同步:uniapp/docs/{01,03,04}、uniapp/README.md、docs/05-后端实现规范.md、后台 README 上线步骤

## 六、校验结果(全部通过)
- 后端端到端:tools/verify-api.mjs 226/226(含新增「拒绝余额充值(资损防护)」用例)
- 小程序:uniapp/tests/run.mjs 167/167;validate.mjs 0 错 0 警;check-scss 19/19
- 后台:check-admin-i18n 0 错 0 警;check-theme 0 错 0 警;9 个页面 HTTP 200 全中文
- php -l 改动/新增 PHP 文件 0 语法错误;探针复测:余额不再增长、epay 插件下单/验签链路通
2026-10-19 10:03:13 +08:00

232 行
7.0 KiB
PHP

此文件含有模棱两可的 Unicode 字符

此文件含有可能会与其他字符混淆的 Unicode 字符。 如果您是想特意这样的,可以安全地忽略该警告。 使用 Escape 按钮显示他们。

<?php
namespace app\admin\controller\fc;
use app\common\controller\Backend;
use think\Db;
/**
* 同城-优惠券管理
*
* 说明:fa_fc_coupon 暂无对应模型类,因此列表与增删改直接查库(字段与 FcInstall::tables() 一致)。
* name 名称 / type 类型(fixed 满减, discount 折扣) / amount 面额(折扣) / min_amount 使用门槛 /
* total 发放总量 / received 已领取(只读) / days 有效天数 / enabled 是否启用 / sort 排序
*
* @icon fa fa-ticket
*/
class Coupon extends Backend
{
/** 优惠券类型 */
const TYPES = ['fixed', 'discount'];
/** 快速搜索字段(默认仅 id,搜不到券名) */
protected $searchFields = 'name';
/**
* 查看(列表数据)
*/
public function index()
{
$this->request->filter(['strip_tags', 'trim']);
if (false === $this->request->isAjax()) {
return $this->view->fetch();
}
list($where, $sort, $order, $offset, $limit) = $this->buildparams();
$list = Db::name('fc_coupon')
->where($where)
->order($sort, $order)
->paginate($limit);
return json(['total' => $list->total(), 'rows' => $list->items()]);
}
/**
* 添加
*/
public function add()
{
// 与 index() 一致:统一过滤 XSS 载荷(列表用 bootstrap-table 原样渲染,未过滤会造成存储型 XSS)
$this->request->filter(['strip_tags', 'trim']);
if (false === $this->request->isPost()) {
return $this->view->fetch();
}
$params = $this->request->post('row/a');
if (empty($params)) {
$this->error(__('Parameter %s can not be empty', ''));
}
$data = $this->buildData($params);
$now = time();
// 已领取数量只读,新增时固定为 0
$data['received'] = 0;
$data['createtime'] = $now;
$data['updatetime'] = $now;
if (false === Db::name('fc_coupon')->insert($data)) {
$this->error('优惠券添加失败');
}
$this->success();
return null;
}
/**
* 编辑
*
* @param mixed $ids
*/
public function edit($ids = null)
{
// 与 index() 一致:统一过滤 XSS 载荷
$this->request->filter(['strip_tags', 'trim']);
$row = Db::name('fc_coupon')->where('id', (int)$ids)->find();
if (!$row) {
$this->error(__('No Results were found'));
}
if (false === $this->request->isPost()) {
$this->view->assign('row', $row);
return $this->view->fetch();
}
$params = $this->request->post('row/a');
if (empty($params)) {
$this->error(__('Parameter %s can not be empty', ''));
}
$data = $this->buildData($params);
// 已领取数量只读,编辑时不修改
$data['updatetime'] = time();
if (false === Db::name('fc_coupon')->where('id', (int)$ids)->update($data)) {
$this->error(__('No rows were updated'));
}
$this->success();
return null;
}
/**
* 删除
*
* @param mixed $ids
*/
public function del($ids = null)
{
if (false === $this->request->isPost()) {
$this->error(__('Invalid parameters'));
}
$ids = $ids ?: $this->request->post('ids');
if (empty($ids)) {
$this->error(__('Parameter %s can not be empty', 'ids'));
}
$count = Db::name('fc_coupon')->where('id', 'in', $ids)->delete();
if (!$count) {
$this->error(__('No rows were deleted'));
}
$this->success();
return null;
}
/**
* 批量更新(仅允许「是否启用 / 排序」)
*
* @param mixed $ids
*/
public function multi($ids = null)
{
if (false === $this->request->isPost()) {
$this->error(__('Invalid parameters'));
}
$ids = $ids ?: $this->request->post('ids');
if (empty($ids)) {
$this->error(__('Parameter %s can not be empty', 'ids'));
}
if (false === $this->request->has('params')) {
$this->error(__('No rows were updated'));
}
parse_str($this->request->post('params'), $values);
$values = array_intersect_key($values, array_flip(['enabled', 'sort']));
if (empty($values)) {
$this->error(__('You have no permission'));
}
if (isset($values['enabled'])) {
$values['enabled'] = !empty($values['enabled']) ? 1 : 0;
}
if (isset($values['sort'])) {
$values['sort'] = (int)$values['sort'];
}
$values['updatetime'] = time();
$count = Db::name('fc_coupon')->where('id', 'in', $ids)->update($values);
if (!$count) {
$this->error(__('No rows were updated'));
}
$this->success();
return null;
}
/**
* 校验并整理表单数据
*
* @param array $params
* @return array
*/
protected function buildData(array $params)
{
$name = isset($params['name']) ? trim((string)$params['name']) : '';
if ($name === '') {
$this->error('优惠券名称不能为空');
}
if (mb_strlen($name, 'utf-8') > 64) {
$this->error('优惠券名称不能超过 64 个字');
}
$type = isset($params['type']) ? trim((string)$params['type']) : 'fixed';
if (!in_array($type, self::TYPES, true)) {
$this->error('优惠券类型只支持「满减券」或「折扣券」');
}
$amount = isset($params['amount']) ? round((float)$params['amount'], 2) : 0;
$minAmount = isset($params['min_amount']) ? round((float)$params['min_amount'], 2) : 0;
$total = isset($params['total']) ? (int)$params['total'] : 0;
$days = isset($params['days']) ? (int)$params['days'] : 0;
$sort = isset($params['sort']) ? (int)$params['sort'] : 0;
$enabled = !empty($params['enabled']) ? 1 : 0;
if ($type === 'fixed') {
if ($amount <= 0) {
$this->error('满减券的面额必须大于 0');
}
} else {
if ($amount <= 0 || $amount >= 10) {
$this->error('折扣券的折扣数必须大于 0 且小于 10(如 8.5 表示 8.5 折)');
}
}
if ($minAmount < 0) {
$this->error('使用门槛不能为负(0 表示无门槛)');
}
if ($total < 0) {
$this->error('发放总量不能为负(0 表示不限量)');
}
if ($days < 0) {
$this->error('有效天数不能为负(0 表示永久有效)');
}
return [
'name' => $name,
'type' => $type,
'amount' => $amount,
'min_amount' => $minAmount,
'total' => $total,
'days' => $days,
'enabled' => $enabled,
'sort' => $sort,
];
}
}