支付与账务

支付与账务覆盖用户充值、余额变动、订单、套餐消费、返利、积分、VIP 和支付渠道配置。该部分属于高风险链路，上线必须使用真实回调 proof。

用户端能力

能力	说明
钱包余额	查看当前余额、冻结金额或可用余额。
在线充值	创建充值订单，跳转或展示支付渠道。
充值记录	查看充值状态、金额、渠道、订单号和完成时间。
消费记录	查看实例创建、续费、资源消费等账务流水。
兑换码	使用管理员发放的兑换码增加余额或权益。
推荐返利	查看邀请关系、返利记录和推广收益。

管理端能力

能力	说明
充值订单	查询订单、支付状态、回调结果和异常原因。
余额变动	审计用户余额增减、管理员调整和系统扣费。
支付渠道	配置支付提供商、商户号、密钥、回调地址和启用状态。
返利审核	审核推荐转化、返利结算和异常推广。
VIP / 积分	管理会员等级、福利、积分变动和权益。
兑换码	创建、禁用、使用记录和库存管理。

回调边界

支付回调地址应使用客户面板公网域名，例如 https://pay.payincus.com/api/...。
回调不应使用后台域名、内网后端地址或临时测试域名。
回调必须校验签名、订单号、金额、状态和幂等性。
支付密钥不得进入前端 bundle、日志或任务输出。

关键后端模块

recharge：充值订单、支付回调和查询。
balance：余额变动和账务流水。
admin-billing：后台账务管理。
支付渠道逻辑：渠道配置、密钥脱敏和出站请求。
aff：推荐返利。
redeem-codes：兑换码。
vip-levels、vip-benefits：会员等级和权益。

风险点

回调重复投递必须幂等，不能重复加款。
金额必须以系统内部单位精确处理，避免浮点误差。
支付渠道密钥只能后端保存和使用。
管理员手动调账必须写审计日志。
充值成功但通知失败时，账务状态仍应准确。

验证清单

真实支付下单成功。
真实支付回调成功入账。
重复回调不会重复入账。
错误签名、错误金额、错误订单号被拒绝。
后台能查到订单、回调结果和余额流水。