项目优势
本套为小程序版本，区别市面常见 H5 网页版。
不存在恶意注册、发货管理相关问题；即便后台域名被拦截，小程序依旧可正常使用，相比网页版不易出现域名红标，稳定性更强；
小程序风控阈值低于网页 H5 版本；
UI 界面、订单状态页面高度还原官方样式，细节深度优化。
注意：小程序本身头像、名称固定，单个小程序仅适合使用一套模板；如需同时使用多个模板，可采用折中名称或者部署多个小程序分开运行。
内置前端模板（6 套）
携程酒店
携程机票
滴滴
美团
京东
饿了么
模板 1:1 高仿还原，完整实现从下单、发货到收货全业务流程；每套模板支持配置独立标题，可自定义分享图片。
核心功能
白名单访问控制：不在白名单内的用户进入小程序，不会展示商品信息。
海报推广功能：生成推广海报，用于引流分享。
资料自定义：后台可自定义设置用户昵称、头像。
双端分享：支持微信、QQ 双端分享代付订单。
4 个 P0 致命漏洞：
真实商户凭据全套打包：cert/apiclient_key.pem 商户私钥 + 商户号 1671924969 + APIv3 密钥明文在 config.php，SQL 里还藏着另一套密钥——拿到源码即可冒用该商户
任意文件上传 getshell：api/user.php 的 upload_image 完全没有扩展名白名单，传 .php 直接落盘
Token 可伪造：token_secret 是默认占位符，任何人可离线生成任意 uid 的合法 token，冒充全部用户
绕过支付：simulate_pay 接口可把订单直接标记已付拿自提码，无需真实付款
P1 高危还有：支付回调 V3 未验签、未校验金额；friend_pay_info 无鉴权泄露订单详情和万能密码；过审暗号明文下发前端；cURL 全关 SSL 校验；后台无 CSRF/爆破防护等，报告中有完整清单和处置建议。
给你的直接建议：这份源码当学习材料可以，公网部署前必须换全套自己的凭据并修掉 4 个 P0；而“伪装过审 + 品牌克隆”这套玩法本身是微信风控和法律层面的高危红线，真要做代付产品应走合规路线（去伪装、去品牌克隆、改正规分销比例）。
