充值管理

重查只核对原订单。失败订单须确认结果并完成销卡后，卡密才会退回。

生成套餐卡密

套餐与卡密一一对应

先“读取真实目录”，再选择接口套餐和卡产品。开卡预算是卡片首充金额，不是销售价格；最低金额和近期成交参考由卡台返回。修改只影响新订单。

配置 API 后读取。

卡台 API 接入

Secret 在当前浏览器拆成两份签名状态，分别送往两台服务器，完整 Secret 不会提交给后端。首次配置需要可信的浏览器与页面；配置时页面若已被篡改，仍可能窃取输入。存在未完成订单或待销卡记录时不能更换密钥。

专用密钥仅需 account:read、products:read、cards:create、cards:manage、subscriptions:read、subscriptions:create、assistants:read；在卡台限制执行服务器来源 IP，并保持低钱包余额。

资金上限与充值开关

每日预算按开卡首充额加预留费用计入，销卡退款不恢复当日额度，避免反复开卡放大损失。

成功通知

收件人：[email protected]

充值确认成功后自动发送。邮件失败单独重试，不改变充值结果，不包含 Session、Token 或完整卡资料。

近期 IP 记录

按最近 5000 条访问记录统计，显示最近 200 个来源 IP。IP 记录属于访问日志，不代表独立用户数。

访问与安全事件

详情显示最近 500 条匹配记录，每页 50 条。只记录接口类别，不保存请求内容、完整链接或验证码。

自动封禁

连续登录失败、探测敏感路径会触发临时封禁，过期自动解除。

手动 IP 规则

黑名单优先。白名单仅免除自动封禁，仍须通过登录、T 盾和跨站校验。IPv6 无法加入允许名单。

后台 IP 限制

保存时必须保留当前 IP。密码、动态验证码、访问频率和跨站请求校验会同时生效。

管理员在线会话

会话绑定登录时的 IP，切换网络需重新登录；有效期为 4 小时。当前登录方式：账号与密码。

修改管理密码

密码至少 16 个字符，修改后其他会话会退出。

自动防护策略

IPv6 固定禁止访问。以下阈值即时生效，不会解除现有封禁，现有封禁可在封禁页单独处理。

实现参考 Authelia 的 IP 失败窗口与封禁机制，以及 CrowdSec 的事件记录与拦截分离方式。

Cloudflare Turnstile 轻量 T 盾

Managed 模式，仅有风险时显示验证。验证通过后，当前 IPv4 可复用 15 分钟；正常查单不反复验证。

服务器会向 Cloudflare 验证一次性票据，并核对域名与用途。更改配置后请保留当前后台会话，另开窗口确认验证可用。