温馨提示：资源来源互联网搬运，遇到源码有授权加密以及后门，请放弃使用，本站不会添加任何后门。请勿相信源码里的广告 QQ 以及其他联系方式，谨慎被骗！

这一版属于实打实的内核级大更新，不搞表面花活。大量核心底层直接推倒重写，重磅落地整套全新 API V2 架构以及完整退款业务体系。把项目沉淀下来的一堆历史安全隐患全部深挖清算，SQL 注入、并发余额篡改、各类支付回调恶性 bug 挨个连根铲除。同时重构对接插件底层机制，上新全新前台模板，扩充第三方对接能力，清理淘汰大量老旧废弃代码。内核、支付、接口、插件、模板全维度迭代升级，整体强度直接上一个档次，全部改动如下。 本次新增

1、全新 API V2 系统，独立目录 MVC 控制器架构，代码完全解耦隔离，内置三种认证模式，不管是程序内部调用，还是对接外部第三方系统都能直接适配，拓展能力直接拉满。 2、API 接口防护限流，单 IP 每分钟最大 30 次请求限制，硬扛恶意扫描、接口爆破、高频刷请求，从接口层面挡住大部分恶意攻击行为。 3、完整 API 双向日志系统，入站请求、出站响应完整留存，支持按认证方式、IP、时间多维度筛选定位，后续接口出问题直接回溯，排查问题效率大幅提升。 4、配套 API V2.0 响应式在线开发文档，独立 api/index.html，部署完直接浏览器打开就能看，不用钻进源码堆里面翻注释，对接开发省心不少。 5、退款系统全盘重构，打通完整业务闭环，用户提交退款申请、后台管理员审核处理、对接站点远程退款联动一整套流程全部实现。 6、用户侧 API 密钥自主管理，普通用户可以自行创建、删除属于自己的 API‑KEY，支持绑定 IP 白名单，牢牢管控密钥调用权限。 7、后台专属 API 管理面板，API 全局配置、密钥管理、日志审计、RSA 密钥生成维护全部集中在此，管理员一站式管控全部接口权限。 8、Aurora（晨雾）全新前台模板，自动识别手机、平板、电脑三端设备，十多项可视化配置，不用改一行源码，就能自定义前台展示效果。 9、新增十度对接插件，拓展货源对接链路，后台开启即可直接使用。 10、新增小杰云官方对接插件，原生支持退款接口，实现主站与下游对接站点之间退款业务联动。

问题修复

1、修复支付异步通知高危安全漏洞，强制 POST 接收回调，乐观锁机制杜绝并发重复处理订单，严格金额校验，增加 0 元订单防护，把异常订单风险直接封死。 2、修复定时任务模块 SQL 注入漏洞，卡密相关查询全部改为参数化查询，杜绝 SQL 拼接带来的注入风险。 3、修复自动同步模块空监控密钥绕过校验漏洞，空密钥直接拦截，不再跳过校验执行同步。 4、修复域名查询旧数据库结构兼容 bug，优先读取 domain+domain2 字段，查询失败再走扩展查询逻辑，新旧数据库版本都能兼容跑。 5、修复 MAPI 支付接口安全缺陷，移除过时 daddslashes 处理，全部切换 PDO 预处理，从底层防护注入问题。 6、加固支付公共配置文件，关闭错误页面输出，统一配置加载逻辑，避免敏感报错信息向外泄露。 7、修复 other/mapi_notify.php 各类问题，关闭 WAF 拦截；修正字段获取逻辑；补全缺失 processOrder()调用，彻底解决支付成功却不发货的致命 bug；增加$date 容错，杜绝空值直接崩溃。 8、修复 other/alipay_notify.php，解决单引号导致日志乱码，TRADE_CLOSED 状态正常执行 SQL，增加变量容错，关闭 WAF 防止回调拦截。 9、修复 other/usdt‑trc20/inc.php，换掉已经失效的汇率源，切换 OKX 公开接口；重写浮点金额比对逻辑，规避浮点数精度坑；查询同时兼容 channel、type 双字段。 10、alipay2_notify.php、codepay_notify.php、qqpay_notify.php、epay_notify.php、wxpay_notify.php 统一修复，全部增加 date 容错，统一关闭 WAF，防止回调被无故拦截。 11、修复 includes/core.func.php 内 processOrder() tid==‑3 分支共计 12 处 SQL 拼接风险，全部改成参数化查询。 12、修复 includes/core.func.php do_goods 函数，内部查询、新增、更新语句全部替换参数化查询。 13、修复 user/ajax_user.php，加款卡 km 字段查询改为参数化查询。 14、修复 admin/payorder‑table.php，payorder 查询增加字段白名单校验，搭配参数化查询抵御恶意字段传入。 15、修复并发竞态刷余额漏洞，includes/function.php 的 changeUserMoney 改用原子 UPDATE 操作变更余额，扣款前校验余额，杜绝余额负数、余额错乱。 16、修复 includes/lib/Price.php 并发刷余额问题，重构 changeUserMoney 逻辑，同步清除潜藏 SQL 注入隐患。 17、修复 api/controller/PayController.php 并发扣款缺陷，采用原子扣款，余额不足直接拦截，杜绝超额扣款。 18、修复 user/ajax_user.php 卡密核销逻辑，原子 UPDATE 处理，彻底杜绝一张卡密被多次重复消耗。 19、修复充值订单 trade_no 重复生成漏洞，保障每一笔订单编号唯一不冲突。 20、修复微信支付浮点金额校验问题，改用分为单位整数比对，干掉浮点数对比出错的老毛病。 21、修复 QQ 支付回调查询未做空判断，避免空数据直接导致程序报错。 22、多渠道支付回调引入数据库事务控制，解决回调状态更新不同步，保证订单数据不会出现错乱。 23、修复易支付回调仅支持 POST 的限制，同时兼容 GET 通知模式。 24、修复 MAPI 接口 SSL 校验关闭风险，强制开启 HTTPS 证书校验；密钥传输改为 POST 提交，杜绝 URL 明文泄露密钥。 25、修复 USDT‑TRC20 假代币充值攻击，新增合约白名单校验，拦截伪造代币充值。 26、修复 USDT‑TRC20 金额浮点精度计算错误。 27、优化 USDT‑TRC20 汇率获取，双汇率源容错，防止单一接口挂掉支付直接瘫痪。 28、废掉旧文件锁逻辑，改用数据库唯一索引锁，解决 USDT‑TRC20 文件锁失效问题。 29、修复支付页面 XSS 漏洞，输出全部做 htmlspecialchars 转义，防止恶意脚本注入。 30、重写修复 alipay_notify.php 语法错误、事务嵌套混乱、SQL 参数缺失问题，新增乐观锁防重单，完善回调日志记录。 31、修复 AlipayTradeService 验签之后多余订单查询逻辑，避免正常回调被误判失败。 32、修复前端订单轮询只适配易支付的问题，增加支付宝当面付主动查询兜底，提升回调异常场景下订单状态同步能力。 33、修复支付宝页面调试残留输出、跳转语法错误，解决页面异常报错。

功能优化

1、对接站点管理全面插件化，自动扫描插件目录渲染配置表单，后续新增对接插件开发部署效率大幅提升。 2、对接站支持自定义下单默认状态，适配不同业务玩法需求。 3、支付轮询接口安全重构，增加 Referer 同源校验，搭配 IP 访问频率限制，防止接口被恶意调用。 4、易支付 V2 类库深度安全加固，增加防重放攻击逻辑，加入 XSS 过滤处理。 5、订单列表新增已退单状态标签，增加对接退款操作按钮，后台处理退款更加直观方便。 6、商品自动同步性能优化，支持批量接口调用，批量写入更新数据，大批量同步不再卡顿。 7、供应商登录入口加入暴力攻击防护，拦截密码反复爆破行为。 8、用户端全部 AJAX 接口统一使用预处理语句，收紧安全防线。 9、后台设置新增配置项白名单校验，支付等敏感配置无法被恶意篡改。 10、安装脚本自动创建邮件、API 模块所需数据表，部署省去手动建表步骤。 11、前台增加卡密复制、查询结果复制实用小功能，提升使用体验。

移除废弃文件

epay_v2_config.php 旧版易支付 V2 独立配置文件 旧版易支付 V2 通知、返回相关文件 wxpay_fixed.php 废弃固定金额微信支付文件 wxpay_simple.php 废弃简化版微信支付文件 源码完整开源放出，全程无加密、无后门、没有任何授权捆绑，完整注释全部保留，不管是个人自用、搭建业务站点，还是拿来二次开发魔改都完全放开。 运行环境推荐 PHP7.4，下载完成直接上传解压，走安装流程即可完成部署，后台填好各类接口参数直接上线跑业务

感谢您的来访，获取更多精彩文章请收藏本站。