平台标准接入协议

1. 资金不碰池：订单由宿主自有收银台扣款，平台只记订单与状态，退款指令也由宿主执行。
2. 发货只认服务端回调：前端 pay_success 事件仅用于刷新 UI，不得作为发货依据。
3. appKey 只在服务端：任何情况下不得写入 H5、JS、客户端包或日志。

宿主 App → 游戏大厅（同源 H5）→ SDK → 宿主收银台 → 平台订单中心 → CP 游戏服务器发货。

玩家点击购买
  → SDK.pay / CP 服务端 /sdkopen/order/create     创建订单（CREATED）
  → 宿主收银台扣款，回调 POST /api/host/notify    订单（PAID）
  → 平台按标准协议 POST {DeliverURL}              订单（DELIVERED）
  → 失败自动进入 9 次递增重试队列 → 死信人工补偿
  → 租户财务发起退单 → 宿主退款 → 订单（REFUNDED / PARTIAL_REFUNDED）
  → 次月 10 号按订单费率快照生成结算单

参与签名的字段按 key 升序 排列，用 k=v 以 & 拼接，末尾追加 &key=md5(appKey)，再对整串取 MD5（小写 hex）。

raw = "amount=600&appId=guess&cpOrderId=CP001&playerId=P001&productId=diamond_1&key=" + md5(appKey)
sign = md5(raw)

密钥轮换期间平台同时接受新旧两把 key 验签（双 key 并行），但签名生成始终只用新 key，厂商可平滑切换。

创建订单时若传 tenant_code，平台会校验它与 appId 所属租户一致，不一致直接拒绝。响应中也返回该字段。用于未来放开「跨租户同名 appId」时消除路由歧义；当前业务层仍保证 appId 全局唯一。

平台向租户后台登记的 DeliverURL 发起 application/x-www-form-urlencoded POST：

orderId=O...&playerId=P...&orderFee=600

厂商服务端必须返回纯文本 success（大小写不敏感）才算成功，其余任何响应或超时均视为失败。

重试序列：5s / 15s / 30s / 1m / 3m / 10m / 30m / 60m / 2h，共 9 次；每次尝试写 delivery_logs；死信可在租户后台改地址后重发或标记线下已处理。

引入同源 /sdk/sdk.js，全局对象 SaaSGameSdk：

SaaSGameSdk.init({ appId: 'guess' })
SaaSGameSdk.login()                 // 宿主免登优先，外部浏览器降级 OAuth
SaaSGameSdk.reportRole({ roleId, roleName, roleLevel, serverId, serverName })
SaaSGameSdk.pay({ productId, productName, amount, cpOrderId })
SaaSGameSdk.getOrder(orderId)
SaaSGameSdk.createTicket({ subject, content })

同源是硬性要求：SDK、大厅、游戏页共享 localStorage 中的玩家 token，因此静态资源由 Go 单进程托管，不单独部署前端域名。聊天上报走 POST /api/sdk/chat。

CREATED → PAYING → PAID → DELIVERED
                    └→ PARTIAL_REFUNDED → REFUNDED

支付回调幂等：重复回调因状态机被拒绝；发货由队列保证最终一致。订单记录 user_id、refunded_amount 与 fee_rate_snapshot（下单瞬间的三方分账费率 JSON）。

按应用配置平台技术服务费 / 租户分成 / CP 分成，单位万分比，合计必须 = 10000（默认 1000 / 1000 / 8000）。

• 下单时把费率冻结进订单快照，之后调整费率不影响历史订单。
• 结算按逐笔快照拆分，CP 取余数，保证三方之和恒等于订单金额。
• 退单按原订单快照等比例冲回；缺快照的历史流水记入「对账差异」待人工核对。
• 月结，次月 10 号对账上月；租户确认后单据锁定，有异议可提交说明。

1. 厂商后台 →「SDK 接入」查看 appId / appKey（明文需二次确认，会记审计）。
2. 「签名工具」用同一组参数比对本地实现与平台输出是否逐字一致。
3. 「沙箱联调」执行一键模拟支付成功 / 失败，检查订单状态与发货响应。
4. 登记真实 DeliverURL，用「重放回调」验证服务端是否返回 success。
5. 检查「接入自检清单」所有项为通过；失败项按说明补齐。
6. 提交应用审核 → 租户审核通过 → 上架。

• 宿主票据走服务端对服务端 HMAC-SHA256 双向签名 + 一次性消费 + 120s TTL，防伪造与重放。
• 多租户逻辑隔离：JWT 决定 tenant_id，GORM 全局回调自动注入条件；请求头 X-Tenant-Id 一律无效。
• 所有写操作全量审计，敏感操作（退单、下架、密钥轮换、域名解绑、强制处置）单独标记。
• 退单不设额度、不做拦截，平台只监控 + 审计（决策 23）。