系统管理使用指南
系统管理包含 5 个子页面，按你要做的事来讲：
| 你想做什么 | 跳到哪节 |
|---|---|
| 添加管理员账号 / 重置密码 | 添加并管理用户 |
| 管理终端用户账号 / 禁用 / 重置密码 / 绑定 IM 与业务身份 / 删除 | 管理终端用户 |
| 创建角色 / 给角色分配权限 | 创建角色与分配权限 |
| 创建用户组 / 加组成员 | 创建用户组 |
| 接入外部 Dify | 接入外部 Dify |
| 配置短信服务商 / 验证码模板 | 安全配置 |
| 发布终端用户 APP / 替换 APK 后端地址 | APP 管理 |
| 配置短信/邮件通知渠道、模板、测试发送 | 平台配置 · 通知渠道 |
| 配置支付通道（支付宝） | 平台配置 · 支付通道 |
| 忘记密码 / 改绑手机邮箱 / 账号锁定解锁 | 验证码使用指南 |
添加并管理用户
本节管理的是管理员账号——登录管理台、操作后台、管理智能体与用户组的账号。 终端用户（登录终端门户、与智能体对话的账号）的账号管理在管理终端用户一节。
前提条件
- 拥有「用户管理」权限（系统管理员）
- 已创建好角色（可选，创建用户时可分配）
添加新用户
在左侧导航栏，单击系统管理 → 用户管理。
单击右上角创建按钮。
在创建表单中填写：
- 用户名：login id（必填）
- 真实姓名：显示名
- 密码：必填，旁边有 5 段强度计（很弱 → 很强，基于 zxcvbn 评估），建议达到"强"
- 邮箱、手机：均为可选。新建用户默认「未认证」状态，未认证的邮箱/手机可作为关联信息填写，不会与其他用户冲突，但不能用于登录、找回密码、账号解锁
- 启用：默认开启
单击保存。表格出现新用户行，邮箱/手机列显示「未认证」灰色徽章。
（可选）分配角色：单击该行更多 → 分配角色，多选角色（预选当前角色），单击确认。
预期结果
- 用户管理表格出现新用户，状态「启用」，角色列显示已分配的角色角色标签
- 邮箱列、手机列显示该用户的邮箱/手机号 + 「未认证」灰色徽章（未绑定时显示「未绑定」）
- 该用户可用账号密码登录控制台
用户来源
用户名旁的「账号中心」标记表示该账号已在账号中心建档（如员工导入或门户客户登录后自动关联）。带标记的账号，登录密码以账号中心为准；未带标记的账号由本平台直接管理。
认证邮箱/手机
未认证的邮箱/手机只是关联信息，不能用于登录、找回密码、账号解锁。需通过验证码认证后才能正式生效：
- 找到目标用户行，单击更多 → 认证邮箱（或认证手机）。
- 系统自动通过短信/邮件通知渠道向用户绑定的邮箱/手机发送 6 位验证码（10 分钟有效；多通道按优先级选路，失败自动切换备用通道）。
- 在弹窗中输入用户收到的验证码，单击确认。
- 验证通过后，该用户邮箱/手机状态变为「已认证」绿色徽章。
唯一性约束
- 已认证的邮箱/手机在系统中全局唯一，不可被多个用户同时认证
- 未认证的邮箱/手机允许多人重复填写（例如管理员为多个用户预填了同一个备用邮箱）
- 用户改绑邮箱/手机后，状态自动回退为「未认证」，需重新认证才能用于登录/找回密码
用户自助认证
用户也可自行在「账户设置 → 个人信息」页对自己的邮箱/手机发起认证（参见 账户设置文档），无需管理员介入。管理员认证适合用户无法收到验证码或需要批量初始化认证的场景。
重置用户密码
当用户忘记密码或疑似泄露时：
- 找到目标用户行，单击更多 → 重置密码。
- 在弹窗中输入新密码，观察强度计。
- 单击确认，密码立即生效（无需用户邮箱验证）。
启用/禁用用户
切换用户状态（如离职、临时封禁）：
- 表格中状态列是行内开关。切换时有确认弹窗，确认后调用
updateUserApi更新is_active。 - 禁用后用户无法登录，但记录保留（可重新启用）。
删除用户
单击目标用户行的删除，确认弹窗会提示该用户在多少个智能体实例上存在独立会话空间：
- 确认后，系统会一并清理该用户在各智能体实例上的独立会话空间及相关数据。
- 此操作不可撤销。
批量删除
勾选多行后，点批量操作栏的批量删除，二次确认后批量删除。
登录安全策略
平台对登录侧实施了以下加固：
| 策略 | 触发 | 响应 |
|---|---|---|
| 失败计数 | 连续 5 次密码错误 | 账号锁定 15 分钟 |
| IP 频率限制 | 单 IP 每分钟 10 次登录 | 第 11 次起拒绝 |
| IP 失败拉黑 | 单 IP 每小时 50 次失败 | 该 IP 封禁 1 小时 |
| 密码强度 | 新建用户 / 改密时 | 强度评分 ≥ 3（强），不允许常见弱密码 |
| 用户枚举防御 | 不存在的用户登录 | 返回统一错误文案，避免探测账号是否存在 |
被锁定的账号在锁定期间无法登录，需等待 15 分钟自动解锁。系统管理员账号被锁也会受影响。
用户锁定与解锁
当用户连续输错 5 次密码后，账号会被锁定 15 分钟。被锁定的用户行在用户管理页会显示红色「已锁定 剩 N 分钟」徽章，状态列后面新增了「锁定」列。
管理员解锁（无需等 15 分钟）：
- 在左侧导航栏单击 系统管理 → 用户管理。
- 在搜索框输入用户名或邮箱，找到该用户。
- 看到该用户行有红色「已锁定」徽章后，单击该行操作列的 更多 → 解锁账号。
- 在弹出的确认框中单击 确定。
- 该用户的失败计数与锁定时间立即清零，可正常登录。
用户自助解锁
被锁定的用户也可在登录页单击「忘记密码」走邮件验证码流程自助解锁（前提是已配置邮件服务商）。但管理员解锁是即时操作，无需等待邮件，适合内部用户支持场景。
解锁接口不静默成功
未锁定的用户调解锁接口会返回 400 user_not_locked（不静默成功），这是为了防止管理员误操作。列表上的解锁按钮仅对锁定用户显示。
管理终端用户
终端用户是登录终端门户、与智能体对话的账号（与管理员账号相互独立）。本页用于管理终端用户账号与组归属。
谁能管理
- 系统管理员 / 平台管理员：可管理全部终端用户，包括未归组的终端用户。
- 组管理员：只能管理本组内的终端用户；未归组的终端用户对组管理员不可见，越组操作无法完成。
查看终端用户
- 在左侧导航栏单击系统管理 → 终端用户管理，打开终端用户管理页。
- 可按用户名/姓名/邮箱/手机号搜索，或按状态、所属组筛选。
列表会展示该用户所属的组。
启用 / 禁用终端用户
- 禁用后该终端用户无法登录终端门户，但账号与历史数据保留，可随时重新启用。
重置终端用户密码
- 忘记密码或疑似泄露时，管理员可直接重置为新的强密码，立即生效。
- 重置同时会解除该账号的锁定状态。
设置所属组
- 把一个终端用户加入或移出用户组，支持批量设置多个组。
- 加入组后，该终端用户即可使用组内智能体与资源；移出组后不再可见。
- 组管理员只能把本组终端用户设置到本人管理的组内。
绑定 IM 渠道与业务身份
让终端用户从企微/飞书/钉钉发起的对话自动归属到本人，或关联其在业务系统中的身份：
- 找到目标终端用户行，单击绑定管理。
- IM 渠道绑定：单击添加绑定，选择平台（企业微信/飞书/钉钉）+ 填 IM 用户 ID + 显示名，保存；已有绑定可在列表中删除。
- 业务身份绑定：填写业务系统用户名（可选填手机号/邮箱），单击保存；单击解除绑定可移除。
用途
绑定后，该终端用户从对应 IM 渠道发起的对话可自动归属到本人，便于用量统计按用户下钻；业务身份会随对话上下文提供给智能体。
删除终端用户
- 删除不可撤销：会一并清理该终端用户在各智能体实例上的独立会话空间、反馈、收藏、IM 绑定与组归属等关联数据。
与管理员账号的区别
| 维度 | 管理员账号 | 终端用户 |
|---|---|---|
| 登录入口 | 管理台 | 终端门户 |
| 权限体系 | 参与 RBAC 角色 / 权限分配 | 无角色概念，按组归属隔离 |
| 谁能管理 | 系统管理员（用户管理） | 系统管理员全量 / 组管理员本组范围 |
| 组归属 | 用户组成员（管理侧） | 终端用户组成员（终端侧） |
创建角色与分配权限
前提条件
- 拥有「角色管理」权限（系统管理员）
创建自定义角色
在左侧导航栏，单击系统管理 → 角色管理。
单击创建按钮。
填写：
- 名称：角色名（必填，如"运营审核员"）
- 描述：角色说明
单击保存。表格出现新角色行。
给角色分配权限
找到目标角色行，单击权限。
右侧滑入抽屉，展示权限树：
- 父节点按
resource_type分组（如agent_instance、litellm_key） - 叶节点是具体权限（如
agent_instance.deploy、litellm_key.update） - 树是虚拟化的（
el-tree-v2），支持大数据量
- 父节点按
用搜索框过滤权限名，或单击全展开/全选。
勾选该角色需要的权限（叶子节点）。
单击右上保存图标。
保存时只提交叶节点 ID（
getCheckedKeys(true)），父节点自动推导。
预期结果
- 角色管理表格的「权限」列显示前 3 个权限标签
- 分配该角色给用户后，用户获得对应权限
内置角色
平台预置四个角色：
| 角色 | 权限范围 |
|---|---|
| 系统管理员 | 全部权限（系统最高权限角色） |
| 平台管理员 | 除系统管理（用户/角色/用户组/引擎管理）外的全部权限 |
| 组管理员 | 用户组管理 + 用户管理 + 本组终端用户管理 |
| 运维人员 | 监控中心全部 + 智能体实例管理全部 CRUD + 社区发布 |
角色缓存
角色列表前端缓存，搜索/分页在缓存内进行；增删改后失效缓存重拉。
创建用户组
用户组是一组用户的集合，用于按组隔离资源（Agent 实例、模型网关 Key、资源池）。
前提条件
- 拥有「用户组管理」权限（系统管理员）
创建用户组
在左侧导航栏，单击系统管理 → 用户组管理。
单击创建按钮。
填写：
- 名称：组名（必填，如"研发一组"）
- 描述：组说明
单击保存。表格出现新组行，Code 列由服务端自动生成（不可编辑，用作模型网关的组归属标识）。
加组成员
这里的成员是管理员账号（管理台/后台操作账号）：
找到目标组行，单击成员。
弹出成员管理对话框：
- 可搜索的用户列表（最多 100 个）
- 每行复选框 + 已加入标签
- 头部显示已选数
勾选要加入的管理员账号（可点行或勾选框切换）。
单击保存，提交
member_ids数组。
终端用户组归属
终端用户（终端门户账号）的组归属不在这里设置，请在管理终端用户的「设置所属组」中操作。
预期结果
- 用户组管理表格的「成员数」列更新
- 组内用户创建的 Agent 实例、模型网关 Key 自动归属该组
- 组私有资源池仅本组实例可绑
客户组织自动同步
门户客户注册或开通企业后，用户组管理列表会自动出现对应的同名用户组（名称旁带「账号中心同步」标记），无需手工创建：
- 客户在门户改名组织 → 同名用户组自动更新名称
- 客户注销企业 → 对应组自动清空成员（保留组行以追溯历史资源）
- 平台手工创建的用户组与同步组互不影响；同名冲突时自动加序号后缀
同步组的编辑限制（名称与成员以账号中心为准）：
- 单击编辑 → 名称输入框为只读（提示请在账号中心调整），描述仍可修改
- 单击成员 → 打开只读成员名册，展示每位成员的组内角色：
- 组管理员：客户组织的主人/管理员，可在组内管理成员与资源
- 终端用户：客户组织的普通成员，组内只读、可发起对话
- 普通成员：无组内角色标注的成员
- 同步组的成员调整请让客户在门户/账号中心操作，变更会自动同步过来
组与资源的隔离
| 资源 | 组归属方式 |
|---|---|
| 资源池 | group_id 字段，空=平台共享，具体值=组私有 |
| API Key | team_id = 组 ID，预算与限流按组聚合 |
| Agent 实例 | 默认按组隔离，组间不可见 |
| 用量统计 | 可按组下钻查看 |
| 终端用户 | 终端用户归属组后可使用组内智能体；组管理员只能管理本组终端用户 |
引擎管理
引擎管理页展示平台支持接入的智能体引擎及其能力范围。引擎的能力范围决定智能体能配置哪些资产——不支持的资产类型在智能体配置页会自动置灰并说明原因，避免配置了却不生效。
页面按引擎类别（通用 / 低码编排 / 编码）分组展示引擎卡片，每张卡片标注接入状态：已接入的引擎可直接用于创建智能体，卡片同时列出该引擎支持的能力（智能体人设 / 技能 / MCP 服务 / 知识库 / 多用户隔离 / 命令沙箱）；待接入的引擎表示平台尚未接入该引擎类型。单击页头能力详情可查看全部已接入引擎 × 能力的对照矩阵。
单击引擎卡片进入引擎详情页，查看引擎类型、所属类目与能力清单。Dify 引擎的详情页额外提供连接配置面板（见下节）——Dify 智能体运行在你自管的 Dify 平台上，平台只做对接不作托管；其余已接入引擎由平台托管运行，无需配置外部连接。
接入外部 Dify
当你需要把平台对接到自管的 Dify 实例时，在引擎管理 → Dify 引擎详情 → 连接配置中配置：
前提条件
- 拥有「引擎管理」权限（系统管理员）
- 已部署好外部 Dify 实例，有 base_url 和管理员账号
配置项
连接配置面板提供以下字段：
- base_url：外部 Dify 实例地址（必填，如
https://dify.mycompany.com） - admin_email：Dify 管理员邮箱
- admin_password：密码；留空表示不修改，已配置时显示「已配置」标签
- 可观测纳管：默认开启。开启后，该引擎上智能体的运行数据统一纳入平台监控中心，可在用量分析与链路追踪中查看；关闭则不采集该引擎的运行数据
保存后可用测试连接验证（返回 apps_count 说明连通正常）。
配置管理员账号后，页面下方会出现应用列表，列出该 Dify 平台上的应用（名称 / 类型 / 应用 ID），可一键复制应用 ID 用于后续绑定。
批量导入为智能体
在应用列表中勾选一个或多个应用，单击批量导入，选择目标用户组后开始导入。平台会为每个应用自动完成：创建同名智能体（组内重名自动加序号后缀）→ 绑定该 Dify 应用 → 发布上线。导入结果逐个展示：
- 已导入：智能体已创建并发布，可直接打开查看
- 已存在（跳过）：该用户组内已有智能体绑定了此应用，自动跳过不重复创建
- 失败：给出可读原因（如应用已在外部平台删除），不影响其余应用导入
平台状态
配置保存后，平台会周期性探活该 Dify 实例，并在面板顶部展示平台状态：正常 / 异常 / 未知，附最近巡检时间；异常时给出可读原因。平台暂不可达不会阻断配置修改，只作为运行时提示。
预期结果
- 面板顶部「平台状态」显示正常（含最近巡检时间）
- 智能体工作台「构建 → 应用绑定」中可从外部 Dify 应用下拉选择接入（未配置管理员账号时手填平台地址与 API Key 校验接入）
- 测试连接返回 apps_count，应用列表可浏览并复制应用 ID
- 批量导入后，目标用户组的智能体列表出现对应智能体（已发布状态）
- 「可观测纳管」开启时，用量分析与链路追踪页能看到 Dify 应用的运行数据
凭证安全
密码字段采用「留空表示不修改」约定——后端只在字段非空时才更新。前端不回显已存密钥，避免泄露。
安全配置
已迁移
邮件服务商配置已并入本页 平台配置 → 通知渠道，原安全配置页不再提供邮件服务商配置。多通道优先级选路、模板管理与测试发送均在通知渠道页操作。
APP 管理
管理终端用户 APP 的发布物，支持 Android（.apk）与鸿蒙 HarmonyOS NEXT（.hap）双平台。部署环境时，带占位符后端地址的 base APK 会自动注册为「待发布」记录；管理员可在此页面编辑名称、图标、描述并发布，发布后下载页可直接下载到指向当前环境后端的安装包。
列表按平台分页展示，可用右上角的平台筛选器只看 Android 或鸿蒙记录。两个平台的版本号相互独立——同一版本号可以分别发布 Android 与鸿蒙安装包。
前提条件
- 拥有「系统管理员」权限
- 部署时已注入 release keystore（dev 在
.env.local配置RELEASE_KEYSTORE_PATH+ keystore 三件套；prod 由 k8s Secret 自动注入）
上传安装包
环境部署后，已注册的基础 APK 自动出现在列表里。如需手动上传新的安装包：
- 单击右上角上传安装包 按钮。
- 选择本地构建的安装包。Android 选择
.apk文件，鸿蒙选择.hap文件；文件名必须以-版本.apk或-版本.hap结尾（如VeyraOS-0.8.123.apk），系统从中解析版本号并识别平台。 - 同平台同版本号不重复创建（幂等）。
编辑 APP 信息
- 在记录行单击编辑。
- 修改名称（如「VeyraOS」）或描述。
- 单击保存。
上传图标
- 在记录行单击上传图标。
- 选择 PNG / JPG / WebP / GIF 图片，≤ 2MB。
- 上传成功后图标即时刷新。
发布
- 在记录行单击发布，弹出确认对话框。后端地址自动使用当前站点地址，无需填写。
- 单击确认发布，对话框内显示进度条，请耐心等待。
- 发布完成后状态变为「已发布」，记录行出现复制下载地址按钮，可直接分享给用户。
下载页联动
发布成功后，下载页（landing）会自动拉取对应平台最新已发布记录并展示名称、描述、图标和下载按钮。鸿蒙记录发布后，下载页的鸿蒙卡片变为「已发布」并提供 HAP 下载，同时展示基于 auto-installer 的安装步骤说明。
平台配置
平台配置用于管理平台级的服务通道（短信、支付等）。通道切换即时生效，无需重启或重新部署。
平台配置页面在左侧导航栏的 系统管理 菜单下，系统管理员与平台管理员可见。
通道操作影响面大（如切换短信通道会影响全平台验证码发送），相关操作会记录操作人与操作时间，可在系统管理 → 操作记录中追溯。
通知渠道
管理平台对外发送验证码所用的短信通道与邮件通道。在左侧导航栏，单击 系统管理 → 平台配置 → 通知渠道。
页面提供三个页签：短信通道、邮件通道、发送事件。
通道列表与健康状态
每个通道页签顶部有一条健康概览，展示当前默认通道与备用通道的状态、今日用量与近 24 小时降级次数。
列表字段：
| 字段 | 说明 |
|---|---|
| 优先级 | 数值越小越优先；通过 ↑ / ↓ 在启用通道之间上移或下移 |
| 通道 | 服务商名称；启用通道中优先级最高者带「默认」徽标 |
| 状态 | 生效中（默认通道）/ 可用（备用）/ 冷却中 / 配额耗尽 / 已停用；冷却中与配额耗尽的徽标悬停可查看最近一次错误 |
| 今日用量 | 当日成功发送量 / 每日发送上限（测试发送不计入；按 UTC 日界统计） |
| 凭据 | 服务商访问密钥是否已配置（密钥保存后不再显示，仅显示配置状态） |
| 更新时间 | 最近一次修改时间 |
多个通道可以同时处于启用状态：发送时按优先级从高到低依次尝试，默认通道失败会自动改走备用通道，恢复后自动回到默认通道，无需人工干预。
新建 / 编辑通道
单击 新增通道（或在列表中单击某通道的 编辑）。
选择服务商并填写对应字段：
服务商 需要填写 阿里云 签名、AccessKey ID、AccessKey Secret、地域 腾讯云 签名、AccessKey ID、AccessKey Secret、SDK AppID 华为云 签名、AccessKey ID、AccessKey Secret、地域 梦网 签名、API Key、接入地址 - 一个服务商只能有一条通道记录；服务商创建后不可更改，如需更换请新建通道。
- 访问密钥（AK/SK）保存后不再回显。编辑时密钥输入框留空表示保持不变，填入新值才会替换。
- 每日发送上限对通道生效；同一手机号/邮箱的重发间隔与频控由平台统一控制。
- 短信模板不在新建/编辑弹窗中设置，统一在「模板」弹窗中按场景维护（见下文）。
保存后通道进入列表（未启用状态）。启用后参与发送选路。
启用 / 停用 / 删除
- 启用：单击未启用通道的 启用 并确认。启用后该通道参与发送选路（多个通道可同时启用）。
- 停用：单击通道的 停用 并确认。停用后该通道不再参与发送选路；若所有通道停用，平台将无法发送验证码，请谨慎操作。
- 删除：仅未启用的通道可删除；启用的通道需先停用再删除。
测试发送与测试连接
- 测试发送：对指定通道真实发送一条测试消息（短信/邮件），用于验证凭据与模板配置是否生效。测试目标须在平台的联调白名单内，白名单外会被拒绝并提示「测试目标不在允许范围内」；测试发送不占用通道当日用量。发送失败时提示会附带简短原因（如错误码），便于定位问题。
- 测试连接：对通道发起一次连通性检查（在「更多」菜单中），不产生消息费用。失败时页面会提示原因。
模板（短信）
单击通道行的 模板，按场景维护该通道的短信模板 ID：
- 场景固定为验证码与邀请两类，模板 ID 须与运营商报备通过的模板一致，且每家服务商独立。
- 某场景留空表示该场景不使用此通道发送（发送时自动改走其他通道）。
- 每个场景可单独启停；停用后该场景不再经此通道发送。
邮件通道
「通知渠道」页的邮件通道页签管理门户验证码邮件（邮件注册/登录/换绑）的发信通道。启用邮件通道后，门户的邮件注册与邮件登录即可正常发码。
列表字段与操作在短信通道基础上另有：发件人（发件人地址，SMTP 未单独设置发件人时为登录用户名）、服务器/地域（SMTP 显示「服务器:端口」，云厂商显示地域）；其余（优先级 / 通道 / 状态 / 今日用量 / 凭据 / 更新时间；启停、测试发送、删除）与短信通道一致。
新建/编辑时，选择服务商并填写对应字段：
| 服务商 | 需要填写 |
|---|---|
| SMTP | SMTP 服务器、加密方式（切换时端口自动带出默认值）、登录用户名、密码/授权码 |
| 阿里云 | AccessKey ID、AccessKey Secret、发件人地址；地域可选（留空默认 cn-hangzhou） |
| 腾讯云 | AccessKey ID、AccessKey Secret、发件人地址；地域可选（留空默认 ap-hongkong） |
| 华为云 | AccessKey ID、AccessKey Secret、发件人地址；地域可选（留空默认 cn-north-4） |
- 一个服务商只能有一条通道记录；服务商创建后不可更改，如需更换请新建通道。
- 凭据（SMTP 密码 / 云厂商访问密钥）保存后不再回显。编辑时凭据输入框留空表示保持不变，填入新值才会替换。
- 发件人显示名可选；SMTP 通道未设置发件人地址时使用登录用户名作为发件人。
邮件模板
单击邮件通道页签右上方的 邮件模板，按场景维护验证码 / 邀请邮件的主题与 HTML 正文：
- 模板内容与通道无关（SMTP 与云厂商发送同样内容）。
- 支持
等占位符（页面会提示当前场景必需的占位符，缺失时无法保存）。 - 预览：以示例数据渲染当前模板内容，所见即发送效果。
- 未自定义模板的场景使用系统内置模板；单击 恢复内置模板 可删除自定义内容并回到内置。
发送事件
「发送事件」页签展示两类通道最近的发送记录，用于排查与审计：
| 字段 | 说明 |
|---|---|
| 时间 | 发生时间 |
| 类型 | 短信 / 邮件 |
| 通道 | 实际发送的服务商；发生降级时显示「原通道 → 实际通道」 |
| 结果 | 成功 / 降级成功 / 已拒绝 / 失败；运维测试发送带「测试」标记 |
| 耗时 | 单次发送耗时 |
| 目标 | 接收方手机号 / 邮箱（脱敏显示） |
| 错误类型 | 认证 / 网络 / 超时 / 配额 / 拒绝 |
开通邮件注册/登录：新建邮件通道并启用即可，无需重启或重新部署。
支付通道
管理平台在线收款所用的支付通道。在左侧导航栏，单击 系统管理 → 平台配置 → 支付通道。
页面顶部展示当前生效的收款模式及其来源（平台配置 / 部署配置 / 联调模拟）。
支付宝
| 字段 | 说明 |
|---|---|
| 收款模式 | 联调模拟（不产生真实交易）/ 沙箱（开放平台沙箱环境）/ 生产（真实收款） |
| AppID | 开放平台应用 AppID |
| 应用私钥 | 下单签名用；保存后不再回显，编辑时留空表示保持不变 |
| 支付宝公钥 | 异步通知验签用（注意是支付宝公钥，不是应用公钥）；保存后不再回显 |
| 网关地址 | 沙箱/生产网关不同，留空按模式取默认 |
| 异步通知地址 | 公网可达的回调地址，需与开放平台应用配置一致 |
操作：
- 保存配置：创建或更新支付宝配置。切换到生产模式需输入确认词「生产」二次确认（真实收款，务必核对凭据）。
- 启用：配置保存后默认未启用；启用后新的支付请求立即按该配置处理（无需重启）。启用生产模式同样需要输入确认词确认。
- 停用：停用后回落到部署配置或联调模拟模式。
- 测试连接：以只读查询验签探测网关连通性与凭据有效性，不产生交易。
- 删除：仅未启用的配置可删除。
微信支付
微信支付商户资质尚未开通（开通后可在此配置商户号与密钥并启用）。
支付模式与凭据变更会记录操作人与操作时间，可在系统管理 → 操作记录中追溯。
验证码使用指南
当您忘记密码、被锁定、或要改绑手机/邮箱时，平台通过验证码帮您验证身份。验证码支持短信和邮件两条渠道。
忘记密码
当您忘记登录密码时：
- 在登录页，单击忘记密码。
- 选择通过邮箱或短信渠道，输入注册时的邮箱或手机号。
- 单击发送验证码。
- 收到 6 位数字验证码后填入，单击验证。
- 通过后输入新密码（强度需达到「强」以上），单击重置密码。
- 用新密码重新登录。
验证码 10 分钟内有效，5 次输错失效，需重新发送。
渠道按系统配置展示
忘记密码页只展示系统已开启的发码渠道（邮箱/短信）。如果两个渠道都未开启，页面会显示「请联系系统管理员」提示，无法自助重置密码。渠道开启请联系系统管理员在**「通知渠道」页**（系统管理 → 平台配置）配置。
用邮箱或手机号登录
如果您的邮箱或手机号已通过认证，无需输入账号名即可登录：
- 在登录页顶部切换到邮箱或手机 Tab。
- 输入已认证的邮箱或手机号 + 密码，单击登录。
- 系统按邮箱/手机反查账号，成功则进入系统。
用手机验证码登录
如果系统开启了短信渠道，您还可以用手机验证码免密登录：
- 在登录页顶部切换到手机验证码 Tab（仅在系统配置了短信渠道时显示）。
- 输入已认证的手机号，单击发送验证码。
- 收到 6 位验证码后填入，单击登录。
- 验证码通过即登录成功，无需密码。
账号锁定后邮件解锁
当账号因连续 5 次密码错误被锁 15 分钟时，不想等 15 分钟自动解锁可走邮件解锁：
- 在登录页输错密码看到「账号已锁定」提示后，单击忘记密码。
- 选择邮箱渠道，输入您的邮箱（必须与账号绑定的邮箱一致），发送验证码。
- 邮箱收到验证码 → 验证 → 系统立即解锁账号。
- 重新登录。
短信暂不支持解锁
账号锁定邮件解锁只走邮箱渠道（短信发送成本高 + 锁定时不知道用户名）。短信解锁可走「忘记密码」流程改密后重登。
修改绑定的邮箱
登录后修改自己的邮箱：
- 单击右上角头像 → 个人资料。
- 邮箱字段单击修改邮箱。
- 输入新邮箱 → 发码到新邮箱。
- 收到验证码后填入 → 单击确认修改。
- 旧邮箱上的所有验证码立即失效（防止改完一个再改一个）。
修改绑定的手机
同上，但走短信渠道。
安全策略
| 策略 | 触发 | 响应 |
|---|---|---|
| 图形验证码 | 仅密码登录连续 2 次错误后触发 | 一次性，5 分钟有效，点击图片可刷新 |
| 单号频率限制 | 同号 60s 内 1 条 | 429 code_too_frequent |
| 单号小时限制 | 同号 1h 内 5 条 | 429 code_target_hourly_limit |
| 单号每日上限 | 同号 10 条/天（管理员可在「通知渠道」页按通道调整） | 429 code_target_daily_limit |
| 单 IP 频率限制 | 单 IP 1h 内 10 条验证码 | 403 ip_code_banned |
| 验证码错误次数 | 5 次/(target+purpose) | code 立即失效 |
| 用户枚举防御 | 不存在的 target 发码 | 返回 sent=true 但实际不发码 |