XArrPay 商户版 v1.5.1.12 更新日志
版本号: 1.5.1.12
编译时间: 2026-09-21 00:15:47
提交版本: 6ae1e4bd
更新内容:
- [修复] PC 端订单上报在并发请求下遇到数据库死锁时自动重试，重复上报按幂等方式处理，避免重复扣款、分账或通知
- [修复] PC 端及第三方订单上报时，外部流水号和备注与支付状态同步更新，避免并发上报导致关联信息丢失
- [修复] 后台套餐管理编辑后再新增时表单未重置的问题，新增套餐会恢复默认值并清理历史校验状态
- [增加] 管理后台支持全局切换用户前台主题，所选主题统一应用于所有商户，异常时自动回退默认主题
- [增加] 商户端回调日志支持批量清理与按条件清理，仅清理超过支付设置保留期限的日志，期限内日志自动跳过
- [增加] MFA/Passkey 绑定支持 Passkey、邮箱、手机、当前密码等多种身份验证方式
- [安全] Passkey 绑定前必须配置邮箱、手机或动态口令等保底因子，商户敏感操作支持邮箱/手机验证码备用验证，并防止解绑后账号失去保底因子
- [优化] 邮箱和短信验证码改为手动发送，发送成功后才开始计时，验证码有效期统一为 5 分钟
- [修复] 修复验证码发送成功但前端误提示“验证码有效期异常”的问题
- [修复] 修复商户在 API 等页面连续执行敏感操作时，旧 Step-up 验证码按 5 分钟有效期阻塞新操作的问题；发码冷却恢复为后台配置时长，新码发送后自动核销旧票据验证码
- [优化] 增强敏感操作二次认证的票据绑定、失败次数限制及验证环境校验
- [安全] 商户通信密钥默认仅展示掩码，查看、复制和生成二维码前必须完成二次认证
- [修复] 修复经反向代理访问时 WebSocket 握手因上游 Host 被改写而被判定为跨域、始终返回 403 的问题；改为签发连接票据时记录来源，并在升级阶段按该记录校验
- [修复] 修复 WebSocket 连接在反向代理默认 60 秒静默超时下约 1 分钟后被断开的问题；服务端心跳缩短至 30 秒并主动续期读超时
- [增加] WebSocket 新增应用层文本心跳，浏览器端可收到 ping 并自动回 pong，便于在页面上确认链路存活
- [安全] V2 协议 RSA 公钥信息纳入敏感读授权，查看对接信息同样需要完成二次认证
- [修复] 修复二次认证弹窗在手机窄屏/横屏下「发送验证码」溢出弹窗、「确认」与「取消」分为两行的问题；按钮顺序统一为「确认」「取消」
- [修复] 修复二次认证弹窗在动态口令（totp）验证方式下无输入组件、弹窗空白的问题
- [优化] 二次认证弹窗适配手机窄屏与横屏，验证方式切换、输入项与底部按钮均可完整显示；用户中心 V2 密钥「验证并查看」占位在窄屏下不再挤压变形
- [增加] 后台安全设置新增低风险与中风险操作的二次认证免验窗口（默认
0 关闭），同一主体在窗口内完成过一次二次认证后，可跳过低/中风险敏感操作的重复验证
- [安全] 敏感操作按低/中/高三级风险分级且等级固化为服务端代码，高风险操作始终逐个验证；免验窗口绑定主体、会话、IP 与 User-Agent，改密、因子绑定/解绑、生成恢复码、封禁与删除会立即作废旧记录
- [安全] 商户密钥读取（
secret.view）按中风险参与免验，但额外受 300 秒上限约束，且每次免验放行都会写入审计事件
- [修复] 修复管理员绑定两步验证时二次认证票据资源摘要使用管理员 ID、与
/staff/profile 的 PID 不一致导致校验失败的问题；取消二次认证弹窗不再误报「两步验证失败」
注意：
- 更新前记得备份数据库
- 测试版本运营站请勿随意更新，后果自负
推荐服务器商:
小白云
