本次小杰云商城V1.0.10为内核级大更新，全开源无加密无后门，新增完整API V2架构与全链路退款体系，清算全部历史安全漏洞，新增三端适配晨雾前台模板，拓展多货源对接能力，底层安全加固，部署简单可直接上线运营。
小杰云商城发布V1.0.10修复版 完成内核级安全重构与全维度功能升级
2026年10月8日，小杰云商城正式推出V1.0.10修复版，本次更新为内核级大版本迭代，全程不做表面化功能堆砌，大量核心底层代码直接推倒重写，重点落地整套全新API V2架构与完整退款业务闭环，全面清算项目沉淀的历史安全隐患，从内核、支付、接口、插件到模板完成全维度升级，系统整体稳定性与安全性提升至全新层级。
本次版本更新未设置任何加密、后门或授权捆绑，源码完整开源并保留全部注释，支持个人自用、业务站点搭建及二次开发魔改，推荐运行环境为PHP7.4，用户下载后上传解压即可通过常规安装流程完成部署，后台配置对应接口参数后即可直接上线运行。
核心新增内容
本次更新重磅上线全新API V2系统，采用独立目录MVC控制器架构实现代码完全解耦隔离，内置三种认证模式，同时适配程序内部调用与外部第三方系统对接需求，大幅拓展系统扩展能力。配套上线的API接口防护限流机制，可实现单IP每分钟最多30次请求限制，从接口层直接抵御恶意扫描、接口爆破与高频刷请求攻击。
系统新增完整API双向日志体系，完整留存入站请求与出站响应全流程数据，支持按认证方式、IP、时间多维度筛选回溯，大幅提升接口问题排查效率。同步配套API V2.0响应式在线开发文档，部署完成后直接通过浏览器访问独立的api/index.html文件即可查看，无需翻阅源码注释，大幅降低对接开发门槛。
退款系统完成全盘重构，打通从用户提交退款申请、后台管理员审核处理到对接站点远程退款联动的完整业务闭环。新增用户侧API密钥自主管理功能，普通用户可自行创建、删除专属API-KEY，支持绑定IP白名单实现细粒度权限管控。后台新增专属API管理面板，将API全局配置、密钥管理、日志审计、RSA密钥生成维护功能集中整合，管理员可一站式完成全部接口权限管控。
版本同步上线Aurora（晨雾）全新前台模板，可自动识别手机、平板、电脑三类终端设备，提供十多项可视化配置选项，无需修改源码即可自定义前台展示效果。同时新增十度对接插件与小杰云官方对接插件，进一步拓展货源对接链路，原生支持退款接口，实现主站与下游对接站点之间的退款业务联动。
重点安全问题修复
本次更新对大量历史遗留安全漏洞完成连根铲除：
- 修复支付异步通知高危安全漏洞，强制采用POST方式接收回调，通过乐观锁机制杜绝并发重复处理订单问题，新增严格金额校验与0元订单防护，彻底封死异常订单风险
- 修复定时任务模块SQL注入漏洞，卡密相关查询全部改为参数化查询，从根源杜绝SQL拼接带来的注入风险
- 修复自动同步模块空监控密钥绕过校验漏洞，直接拦截空密钥请求，避免跳过校验执行同步操作
- 修复域名查询旧数据库结构兼容bug，优先读取domain+domain2字段，查询失败后再走扩展查询逻辑，同时兼容新旧数据库版本
- 修复MAPI支付接口安全缺陷，移除过时的daddslashes处理，全部切换为PDO预处理机制，从底层防护注入问题
- 加固支付公共配置文件，关闭错误页面输出，统一配置加载逻辑，避免敏感报错信息向外泄露
- 完成二十余项支付回调专项修复，覆盖支付宝、微信支付、QQ支付、易支付等全渠道回调逻辑，解决支付成功却不发货、日志乱码、回调被WAF拦截等致命问题
- 修复并发竞态刷余额漏洞，改用原子UPDATE操作变更用户余额，扣款前强制校验余额状态，杜绝余额负数、余额错乱问题
- 修复卡密核销逻辑漏洞，通过原子UPDATE处理，彻底杜绝一张卡密被多次重复消耗
- 修复USDT-TRC20假代币充值攻击漏洞，新增合约白名单校验，拦截伪造代币充值行为，同步解决浮点金额精度计算错误问题
- 修复支付页面XSS漏洞，所有页面输出全部执行htmlspecialchars转义，防止恶意脚本注入
功能优化与废弃文件清理
本次版本对多项核心业务逻辑完成优化：对接站点管理全面插件化，自动扫描插件目录渲染配置表单，大幅提升后续新增对接插件的开发部署效率；对接站支持自定义下单默认状态，适配不同业务场景需求；支付轮询接口完成安全重构，新增Referer同源校验搭配IP访问频率限制，防止接口被恶意调用。
同时完成易支付V2类库深度安全加固，新增防重放攻击逻辑与XSS过滤处理；订单列表新增已退单状态标签与对接退款操作按钮，后台退款处理流程更加直观；商品自动同步性能优化，支持批量接口调用与批量数据写入更新，大批量同步场景下不再卡顿。
此外，版本还新增供应商登录入口暴力攻击防护、后台设置配置项白名单校验、安装脚本自动创建邮件与API模块数据表等优化项，前台新增卡密复制、查询结果复制等实用功能，进一步提升整体使用体验。
本次更新同步清理大量老旧废弃代码，移除epay_v2_config.php旧版易支付V2独立配置文件、旧版易支付V2通知返回相关文件、wxpay_fixed.php废弃固定金额微信支付文件、wxpay_simple.php废弃简化版微信支付文件，进一步精简系统体积，降低后续维护成本。
