ThinkPHP5+Layui构建免签虚拟商品自动发货系统

简介：这是一套面向虚拟商品经营者与PHP开发者的一站式自动发卡发货平台源码，解决虚拟商品（如游戏点卡、会员账号、软件授权码等）的无人值守交付难题。系统基于ThinkPHP5与Layui2.2开发，支持PC与手机自适应，集成第三方个人免签支付接口（兼容支付宝、微信），实现订单生成→支付回调→自动发卡→短信/邮件通知全流程闭环，无域名绑定限制，可多次部署。资源包共2000个文件，主体为1083个PHP业务逻辑与控制器文件、229个GIF图标及52个PNG界面素材、58个HTML前端模板、58个JS交互脚本，辅以YML配置、SQL建表语句、MD说明文档等，总大小13.94MB，结构清晰，含完整安装教程与后台入口（admin.php）。目前已有70人学习下载，提供开箱即用的全开源方案，不含后门，含默认管理员账号密码及数据库配置指引，适合中初级PHP开发者快速二次开发或私有化部署。

1. 这不是普通发卡系统：ThinkPHP5+Layui2.2 构建的免签型虚拟商品自动交付闭环

你见过能绕过官方签约流程、直接对接个人支付宝/微信收款码、且发货动作毫秒级触发的发卡平台吗？这不是灰产工具，而是一套完整落地的轻量级虚拟商品交付基础设施——它不依赖任何第三方支付网关SDK，不调用支付宝/微信开放平台API，而是通过前端轮询+服务端状态机+本地订单快照三重机制，实现「用户扫码付款 → 后台识别到账 → 自动匹配订单 → 实时返回卡密」的全链路无人值守。整套系统基于 ThinkPHP5 框架构建业务逻辑层，Layui2.2 实现响应式管理后台与用户端界面，所有前端资源（layui.css、layer.css、xadmin.css、nv.d3.min.css）均内嵌无CDN依赖，手机端开箱即用。它面向的是中小虚拟商品卖家：游戏点卡、软件授权码、会员兑换券、云服务子账号等无需物流的数字凭证。核心价值不在“免签”二字，而在于把支付结果判定从“异步回调”压缩为“同步感知”，把发货延迟从分钟级压到800ms内——这正是当前大量 PHP 发卡源码在真实交易场景中卡顿、漏单、重复发货的根本症结所在。

2. 免签支付的核心实现原理与 ThinkPHP5 状态机设计

2.1 免签支付不是跳过风控，而是重构资金流确认路径

所谓“免签”，并非规避支付宝/微信的合规要求，而是指不接入其官方商户体系，转而采用个人收款码作为资金入口。系统不处理任何银行卡、信用卡信息，也不触碰用户身份数据，仅对“付款人→收款码→到账通知”这一单向资金流做确定性校验。关键在于：系统不等待支付平台的异步通知（该通知可能延迟、丢失或重复），而是主动发起高频轻量探测。其技术本质是「客户端埋点 + 服务端轮询 + 本地事务快照」三位一体：

• 用户下单后，前端生成唯一订单号（order_no），并渲染对应金额的个人收款二维码（支付宝/微信二选一）；
• 同时，服务端在pay_log表中插入一条未支付记录，状态为pending，并绑定该order_no；
• 前端启动setInterval，每3秒向/index/pay/check?order_no=xxx发起 GET 请求；
• 后端接口执行：① 查询该订单是否已在pay_log中被标记为success；② 若否，则调用本地AlipayQrScan::checkByQrCode($qr_code_id)或WechatQrScan::checkByQrCode($qr_code_id)方法，该方法实际是读取服务器上由扫码监控脚本写入的临时文件（如/runtime/scan/alipay_123456.log），文件内容为 JSON 格式{ "order_no": "xxx", "amount": "19.90", "time": "2024-06-12 14:22:36" }；
• 一旦匹配成功，立即更新pay_log.status = success，并触发发货逻辑。

提示：该方案依赖一个独立运行的扫码监控进程（非 PHP-FPM 子进程），通常以php think scan:alipay命令常驻后台，持续监听指定目录下新生成的扫码日志文件。此设计将高IO的文件扫描与Web请求完全解耦，避免阻塞HTTP响应。

2.2 ThinkPHP5 数据库事务与发货原子性保障

发货动作必须与支付确认强绑定，否则将导致“收了钱不发货”或“发了货没收款”的资损。本系统在application/common/service/OrderService.php中实现了三层事务控制：

<?php // application/common/service/OrderService.php namespace app\common\service; use think\Db; use think\Exception; class OrderService { public function autoDeliver($orderNo) { // 开启事务 Db::startTrans(); try { // 1. 锁定订单记录（防止并发修改） $order = Db::name('order') ->where('order_no', $orderNo) ->lock(true) // 加行锁 ->find(); if (!$order || $order['status'] !== 'paid') { throw new Exception('订单状态异常，无法发货'); } // 2. 查询对应商品库存（虚拟卡密池） $card = Db::name('card_pool') ->where('goods_id', $order['goods_id']) ->where('status', 'unused') ->order('id ASC') ->limit(1) ->find(); if (!$card) { throw new Exception('卡密库存不足'); } // 3. 原子化更新：扣减库存 + 绑定订单 + 更新订单状态 Db::name('card_pool')->where('id', $card['id'])->update([ 'status' => 'used', 'order_no' => $orderNo, 'used_time' => date('Y-m-d H:i:s') ]); Db::name('order')->where('id', $order['id'])->update([ 'status' => 'delivered', 'deliver_time' => date('Y-m-d H:i:s'), 'card_code' => $card['card_code'] ]); // 4. 记录发货日志（非关键路径，失败不回滚） Db::name('deliver_log')->insert([ 'order_no' => $orderNo, 'card_id' => $card['id'], 'create_time' => date('Y-m-d H:i:s') ]); Db::commit(); // 提交事务 return ['code' => 1, 'msg' => '发货成功', 'data' => $card['card_code']]; } catch (\Exception $e) { Db::rollback(); // 回滚所有变更 \think\Log::error('自动发货失败：' . $e->getMessage() . ' | order_no:' . $orderNo); return ['code' => 0, 'msg' => '发货失败，请联系客服']; } } }

2.2.1 关键参数说明与可调项

2.3 Layui 前端轮询与防抖策略实现细节

用户端页面（public/static/index.html）使用 Layui 的laydate、layer和form模块构建交互，其中支付状态轮询是体验关键。原始代码中存在高频无效请求问题，我们对其进行优化：

// public/static/js/pay.js layui.use(['layer', 'jquery'], function(){ var layer = layui.layer; var $ = layui.jquery; var checkTimer = null; var maxCheckTimes = 60; // 最大轮询次数（3秒×60=3分钟） var checkCount = 0; function startPayCheck(orderNo) { if (checkCount >= maxCheckTimes) { layer.msg('支付超时，请刷新页面重试', {icon: 2}); return; } $.get('/index/pay/check?order_no=' + orderNo, function(res){ if (res.code === 1) { // 支付成功，停止轮询 clearInterval(checkTimer); layer.msg('支付成功！正在为您发货...', {icon: 1}); // 跳转至发货结果页 setTimeout(function(){ window.location.href = '/index/order/result?order_no=' + orderNo; }, 1500); } else if (res.code === 0 && res.msg === '未支付') { // 继续轮询，但加入指数退避 checkCount++; var delay = Math.min(3000 * Math.pow(1.2, checkCount), 10000); // 3s→3.6s→4.3s... 最大10s checkTimer = setTimeout(function(){ startPayCheck(orderNo); }, delay); } else { layer.msg('系统异常：' + res.msg, {icon: 2}); clearInterval(checkTimer); } }).fail(function(){ layer.msg('网络错误，请检查网络', {icon: 2}); clearInterval(checkTimer); }); } // 页面加载完成后启动轮询 $(function(){ var orderNo = $('#order_no').val(); if (orderNo) { startPayCheck(orderNo); } }); });

2.3.1 为什么必须用setTimeout替代setInterval？

• setInterval在网络延迟或接口慢时会堆积大量待执行请求，造成浏览器卡顿甚至崩溃；
• setTimeout实现“请求完成后再发下一次”，天然具备节流效果；
• 指数退避（Math.pow(1.2, checkCount)）避免在支付失败时持续无效探测，3分钟内总请求数从 60 次降至约 32 次，显著降低服务端压力。

3. Layui2.2 管理后台深度定制与 xadmin.css 兼容实践

3.1 后台登录与权限隔离的 ThinkPHP5 实现

后台入口为/admin.php，其路由由route/route.php显式定义，不走默认控制器映射，增强安全性：

// route/route.php Route::rule('admin/login', 'admin/Login/index', 'GET|POST'); Route::rule('admin/logout', 'admin/Login/logout', 'GET'); Route::group('admin', function () { Route::rule('', 'admin/Index/index'); // 首页 Route::rule('goods', 'admin/Goods/index'); // 商品管理 Route::rule('order', 'admin/Order/index'); // 订单管理 Route::rule('card', 'admin/Card/index'); // 卡密池管理 Route::rule('setting', 'admin/Setting/index'); // 系统设置 })->before('checkLogin'); // 全局前置中间件

checkLogin中间件（application/middleware/CheckLogin.php）不依赖 Session ID，而是校验 Cookie 中加密的admin_token：

<?php namespace app\middleware; use think\Cookie; use think\Request; use think\Response; class CheckLogin { public function handle(Request $request, \Closure $next) { $token = Cookie::get('admin_token'); if (!$token) { $this->redirectLogin(); } // 解密 token（简单 Base64+时间戳校验，生产环境应升级为 JWT） $decoded = base64_decode($token); $parts = explode('|', $decoded); if (count($parts) !== 3) { $this->redirectLogin(); } list($username, $expire, $sign) = $parts; if (time() > $expire || md5($username . $expire . 'admin_salt_2024') !== $sign) { Cookie::delete('admin_token'); $this->redirectLogin(); } // 将用户名注入 Request 对象，供控制器使用 $request->admin_user = $username; return $next($request); } private function redirectLogin() { Response::create('/admin/login', 'redirect')->send(); exit; } }

注意：admin_salt_2024是硬编码密钥，实际部署时必须在application/database.php同级新建application/extra/salt.php文件，通过return ['salt' => getenv('ADMIN_SALT') ?: 'your_strong_salt_here'];方式注入，避免代码泄露密钥。

3.2 xadmin.css 与 Layui2.2 的样式冲突解决

项目中同时引入xadmin.css（来自旧版 XAdmin 后台模板）和layui.css，二者对.layui-btn、.layui-table等基础类名存在覆盖。直接禁用xadmin.css会导致部分后台页面（如admin/Setting/index）布局错乱。解决方案是CSS 层叠权重提升 + 局部重置：

/* public/static/css/custom_admin.css */ /* 提升 layui 样式优先级，确保按钮、表单控件按预期渲染 */ .layui-admin .layui-btn { z-index: 10; position: relative; } .layui-admin .layui-table th, .layui-admin .layui-table td { padding: 12px 15px; border: 1px solid #eee; } /* 重置 xadmin 对 .layui-form-item 的干扰 */ .xadmin-form .layui-form-item { margin-bottom: 20px; } .xadmin-form .layui-form-label { width: 120px; padding-right: 15px; } .xadmin-form .layui-input-block { margin-left: 120px; } /* 修复 layer 弹窗在 xadmin 导航栏下的 z-index 问题 */ .layui-layer-page { z-index: 999999 !important; }

并在admin/layout.html头部<head>中追加：

<link rel="stylesheet" href="/static/css/custom_admin.css">

3.3 Layui 日期控件（laydate）最大日期设为今日的实战写法

后台商品上架时间、订单导出时间筛选等场景，需限制用户不能选择未来日期。Layui 官方文档中max参数接受时间戳或字符串，但直接写max: 'today'无效。正确做法是在render()时动态计算：

// admin/goods/add.html 中的日期初始化 layui.use('laydate', function(){ var laydate = layui.laydate; // 初始化上架时间选择器，最大日期为今天 laydate.render({ elem: '#shelf_time', format: 'yyyy-MM-dd HH:mm:ss', type: 'datetime', max: (function(){ var now = new Date(); return now.getFullYear() + '-' + (now.getMonth() + 1).toString().padStart(2, '0') + '-' + now.getDate().toString().padStart(2, '0') + ' ' + '23:59:59'; })(), trigger: 'click' }); // 初始化有效期截止时间（相对上架时间+365天） laydate.render({ elem: '#expire_time', format: 'yyyy-MM-dd', type: 'date', min: $('#shelf_time').val() || '', trigger: 'click' }); });

3.3.1 为什么不用max: new Date().toISOString().split('T')[0]？

• toISOString()返回 UTC 时间，中国用户本地时间为 UTC+8，若在 23:00 后操作，split('T')[0]会得到明天的日期，导致控件允许选择未来日期；
• 手动拼接getFullYear()、getMonth()+1、getDate()确保获取的是用户本地时区的“今天”。

4. 第三方个人支付对接实操与扫码监控脚本部署

4.1 支付宝个人收款码监控脚本（AlipayQrScan）

系统不调用支付宝开放平台 API，而是通过模拟扫码行为解析收款通知。其核心是监听支付宝 App 推送的本地通知（Android）或系统剪贴板（iOS），但本源码采用更稳定方案：利用支付宝 PC 版“当面付”功能生成静态收款链接，再由 Python 脚本定时抓取该链接页面中的交易记录。

application/command/ScanAlipay.php提供命令行入口：

<?php // application/command/ScanAlipay.php namespace app\command; use think\Console; use think\console\Command; use think\console\Input; use think\console\Output; class ScanAlipay extends Command { protected function configure() { $this->setName('scan:alipay') ->setDescription('Alipay personal QR code scanner daemon'); } protected function execute(Input $input, Output $output) { $output->writeln('Alipay scanner started. Press Ctrl+C to stop.'); while (true) { try { // 1. 读取配置：收款码ID、Cookie（登录态） $config = config('pay.alipay'); $cookieFile = RUNTIME_PATH . 'alipay_cookie.txt'; // 2. 使用 curl 模拟请求（需提前用浏览器登录并导出 cookie） $ch = curl_init(); curl_setopt_array($ch, [ CURLOPT_URL => 'https://www.alipay.com/mytrade.htm?tab=received', CURLOPT_COOKIEFILE => $cookieFile, CURLOPT_RETURNTRANSFER => true, CURLOPT_FOLLOWLOCATION => true, CURLOPT_TIMEOUT => 10, CURLOPT_USERAGENT => 'Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36' ]); $html = curl_exec($ch); curl_close($ch); // 3. 正则提取最新一笔收款（金额、时间、备注） if (preg_match('/<div class="amount">¥([0-9.]+)<\/div>.*?<div class="time">([0-9]{4}-[0-9]{2}-[0-9]{2} [0-9]{2}:[0-9]{2})<\/div>.*?<div class="remark">(.*?)<\/div>/s', $html, $matches)) { $amount = $matches[1]; $time = $matches[2]; $remark = trim($matches[3]); // 4. 匹配 remark 中的 order_no（格式如：【ORD20240612001】） if (preg_match('/【(ORD\d+)】/', $remark, $ordMatch)) { $orderNo = $ordMatch[1]; // 写入临时日志文件，供 Web 接口读取 $logPath = RUNTIME_PATH . 'scan/alipay_' . date('Ymd') . '.log'; file_put_contents($logPath, json_encode([ 'order_no' => $orderNo, 'amount' => $amount, 'time' => $time, 'source' => 'alipay' ], JSON_UNESCAPED_UNICODE) . "\n", FILE_APPEND | LOCK_EX); } } } catch (\Exception $e) { \think\Log::error('Alipay scan error: ' . $e->getMessage()); } sleep(15); // 每15秒扫描一次 } } }

4.1.1 部署前必备准备

4.2 微信个人收款码监控（WechatQrScan）

微信方案与支付宝类似，但页面结构不同。关键区别在于：

• 微信 PC 版收款记录页 URL 为https://wx.qq.com/cgi-bin/mmwebwx-bin/webwxgetmessageex（需 WebSocket 长连接），本源码采用更轻量的微信网页版“收付款”页面截图 OCR方案（需安装 Tesseract）；
• 实际部署中，推荐使用application/command/ScanWechat.php中的备选方案：监听微信 PC 版本地 SQLite 数据库（WeChat Files\你的微信号\Msg\Multi\MSG0.db），查询Message表中Type=10000（系统消息）且含“已收款”字样的记录。

// application/command/ScanWechat.php 关键片段 $wechatDb = '/Users/xxx/Library/Application Support/WeChat/你的微信号/Msg/Multi/MSG0.db'; if (file_exists($wechatDb)) { $pdo = new \PDO("sqlite:$wechatDb"); $stmt = $pdo->prepare("SELECT Content FROM Message WHERE Type = 10000 AND Content LIKE '%已收款%' ORDER BY CreateTime DESC LIMIT 1"); $stmt->execute(); $row = $stmt->fetch(); if ($row && preg_match('/收款(.+?)元/', $row['Content'], $amtMatch)) { $amount = $amtMatch[1]; // 后续同支付宝，解析 order_no 并写日志... } }

提示：Windows 路径为C:\Users\{用户名}\Documents\WeChat Files\{微信号}\Msg\Multi\MSG0.db；macOS 路径为~/Library/Application Support/WeChat/{微信号}/Msg/Multi/MSG0.db。数据库文件需微信 PC 版退出后才可读取，故脚本中需先检测微信进程是否运行。

5. 安装部署排错指南与关键日志定位技巧

5.1 常见安装失败原因与精准定位方法

安装过程卡在“数据库导入完成，但访问首页报错”，90% 源于以下三类问题，按优先级排查：

5.1.1 PHP 环境缺失扩展（最常见）

• 现象：打开首页显示Fatal error: Class 'PDO' not found或Call to undefined function curl_init()；
• 定位命令：

  php -m | grep -E "(pdo|mysql|curl|openssl|mbstring|gd)"

• 修复（Ubuntu 示例）：

  sudo apt-get install php-mysql php-curl php-xml php-mbstring php-gd php-zip sudo systemctl restart php8.1-fpm # 或 apache2

5.1.2 数据库配置文件权限错误

• 现象：后台登录提示“数据库连接失败”，但phpmyadmin可正常访问；
• 根因：application/database.php文件被设为600，PHP-FPM 进程用户（如www-data）无读取权限；
• 验证命令：

  ls -l application/database.php sudo -u www-data php -r "include 'application/database.php'; print_r(\$database);"

• 修复：

  chmod 644 application/database.php chown www-data:www-data application/database.php

5.1.3 runtime 目录不可写

• 现象：登录后台后一片空白，runtime/log/下无任何日志文件；
• 定位命令：

  ls -ld runtime/ runtime/log/ runtime/cache/ sudo -u www-data touch runtime/test.txt 2>/dev/null && echo "OK" || echo "FAIL"

• 修复：

  chmod -R 755 runtime/ chown -R www-data:www-data runtime/

5.2 支付不触发发货的四层诊断法

当用户扫码付款成功，但后台订单状态始终为pending，按此顺序逐层验证：

5.3 使用宝塔面板快速部署的 5 个关键配置项

若使用宝塔 Linux 面板（v8.0+），以下配置可避免 80% 的兼容性问题：

提示：部署完成后，立即执行php think service:discover重建命令行服务映射，否则php think scan:alipay会提示Command not found。

本文还有配套的精品资源，点击获取