独角Next <Dujiao-Next>

#版本发布 🎉Dujiao-Next v1.4.3 正式发布 ━━━━━━━━━━━━━━ 更新日志： 1. 增强订单风控策略，灵活调整策略防止“占库存攻击” 2. 优化修复支付功能和页面相关问题 3. 去除订单取消邮件通知，减少用户打扰 4. 修复部分已知的bug ━━━━━━━━━━━━━━ ✅顶级供应商｜官方合作品牌 vmrack.net - 全球自动化云基础设施服务商 提供先进的云服务器、裸金属、CDN、媒体处理、对象存储和网络解决方案，助力企业轻松上云 🏆铂金赞助商鸣谢： ---------------------------- - [汇沣支付- 实时结算] - [Feepay - 稳定支付接口] - [AcPay - 稳定D0支付] - [牛牛支付 - 超级无敌牛逼代收] - [赛博支付-发卡收款好帮手] - [CEOACC.COM | 源头海外社交账号批发] - [NiuProxy | 全球动态住宅源头厂商 0.3$/GB] - [高质量本土 Twitter 账号批发网｜全球覆盖] - [源头飞机号商 | tghao.uk] - [VMCard企业级虚拟卡，40+卡BIN，0卡费开卡]

#恰饭通知 📣dujiao-next 作者开店了！ 写了这么久的 dujiao-next，这次终于轮到我自己用它做生意了。 以前一直在为dujiao-next做功能更新，但是从头到位都没有认真去使用过它， 说来好笑，自己是作者，却从来没运营过自己的系统。 有时候一些新功能和想法都是靠自己灵感突然涌动而去实现的， 但是自己不深度使用也无法完全知晓系统有哪些缺陷，功能或体验上还有哪些地方值得打磨。 老早就计划自己运营一个站点，但是激情总是容易被拖延症打败～😂 所以～ 这次想真真正正自己独立运营一个品牌站，所有商品从进货到上架流程完全由自己亲身实践和把控。 一来可以更好的打磨Dujiao-Next，二来也可以恰点小饭，一举两得！win win！ 再说了，一些人天天吆喝怕Dujiao-Next有漏洞被0元购， 现在作者跟你用一样的系统/一样的代码，就算出漏洞也是作者先损失，你还怕什么？🙂 ————————— 下面介绍一下自营品牌： 【NIUB】 — https://niub.me 域名非常好记，就是牛逼～ 目前主要提供： AI 服务 社交平台账号与相关服务 Apple、Google Play 等数字礼品卡 其他常用虚拟商品和数字服务 这家店由我本人运营，也是 dujiao-next 在真实业务场景中的一次长期实践。 从商品展示、下单支付到订单交付、后台管理和日常运营，我都会真正使用自己开发的系统。实际经营中遇到的问题，也会帮助我继续改进 dujiao-next。 所以，NIUB 不只是一家自营店，也算是 dujiao-next 的线上“实战环境”。 如果你正在使用或者关注 dujiao-next，欢迎来看看它实际运行起来是什么样子；如果你刚好需要相关数字商品，也欢迎支持一下作者的新店。 🌐 访问 NIUB： https://niub.me NIUB — 数字服务，一站直达。 ————————— 如果你有优质的货源需要合作，也可以联系我。 请注明合作条件： 1.是否支持后结算/后结算额度 2.售后条件/质保条件 3.较为详细的合作计划/你的优势 合作联系： @assimon_bot

#合作伙伴推送 ✅️老朋友VMrack经过漫长的硬件升级和架构扩容，终于又回来了～ 这次依旧跟独角达成了合作款机型，配置如下： 区域：洛杉矶 配置：1vCPU｜1GB内存｜20GB系统盘 带宽类型：三网优化 基础IPv4数量：1 价格：76美元/年 闪购链接：👉点我购买 由于AI泡沫和全球硬件暴涨的原因，这个价格的确相较于之前涨幅了一些， 我认为优势主要还是在线路上，价格大家就见仁见智了。 我个人就这个定价跟VMrack官方激烈的battle了几轮， 但这已经是目前争取到最优的价格了。 如果大家以后有建站/云服务器方面的需求，也可以考虑一下VMrack。

#瞎哔哔 #安全预警 跟一位群友聊到了一个关于 Bepusdt/Epusdt/Tokenpay等虚拟币支付网关的一种“中间人攻击缺陷”， 这里把攻击原理和预防手段给大家分享一下。 攻击原理： 第一个人A开入金100的充值单， 第二个人B同时开100的充值单， 由于市面上所有开源虚拟币支付的区分订单手段都是通过金额差异区分法， 所以第一个人A的支付金额是100，第二个人B的支付金额为100.01， 然后第二个人B他故意只支付100，然后会入到第一个人A的入金订单， 这时候第二个人B来找管理员说充值没到账，会提供入金截图，哈希等凭证， 让管理员手动入金补单， 然后等管理员给B加进去余额，发现第一个人A已经用完了刚才白得的100。 这时候管理员又没100%的证据确定这两个人是同一个人，只能吃哑巴亏，这就是利用了社会工程学加中间人攻击。 预防手段： 1. 再有人要求补单之前，拿着他的hash和链上记录去后台扫一眼有没有临近金额已完成充值的订单，如果有的话就需要提高警惕了 2. 添加多个钱包随机轮训订单，不要依靠单一钱包地址 3. 时刻警惕各种要求补单的要求，提前各种方式告知用户必须按准确金额转账 这里各位提个醒，已经有人开始利用这种攻击手段开始白嫖了，个人感觉90%的管理员再收到补单要求后会粗心大意直接给用户补，而不会去后台看一眼这笔转账是否已经被其他订单识别。 一定要提高警惕～

🎉 Dujiao-Next v1.4.0 正式发布 本次是架构级更新：两个前端内嵌进后端二进制，从「三端分离」变成单进程、单端口、单域名交付。同时对支付链路做了一轮完整的安全加固。 ━━━━━━━━━━━━━━ 📦 单二进制交付 • 用户前台 + 管理后台 + API 打进一个二进制，只需一个进程、一个端口、一个域名 • 容器数从 4~5 个降到 2~3 个，不再需要独立前端容器与 nginx • 后台入口改为自定义路径 web.admin_path，无需再单独解析一个域名 • 镜像更名为 dujiaonext/dujiao-next（旧名 dujiaonext/api 仍作过渡别名同步推送） • 发布产物精简为单个 dujiao-next_*.tar.gz 🔐 支付安全加固 • 支付回调强制校验金额、币种、订单号、渠道与签名，缺失不再默认可信 • 回调入账全程行锁 + 事务，重复、乱序或并发回调不会重复扣库存、重复充值或重复记账 • 禁止后台直接把未付款订单改成已支付 • 支付渠道适用范围改为服务端二次校验，不再只靠前端隐藏 • 后台密钥脱敏展示，回调日志不再记录原始报文与签名头 • 游客订单凭证改为 HMAC 存储，且不再经 URL 传递 • 钱包人工调账新增操作管理员审计字段 • 游客接口独立限流，Redis 缺失时自动降级为进程内限流 • 后台角色权限重新收敛，移除审计角色的全局 GET 通配权限 ⚡️ 其他改进 • 后台支持从 GitHub Release 一键升级二进制 • 前端构建工具链切换至 pnpm，编译与加载速度优化 • 修复内嵌前端的缓存策略，避免升级后浏览器仍加载旧版页面 ━━━━━━━━━━━━━━ ⚠️ 升级前必读 1️⃣ 必须配置三个彼此独立的强密钥，否则拒绝启动： openssl rand -hex 32 分别填入 app.secret_key、jwt.secret、user_jwt.secret 2️⃣ 务必先备份数据库。首次启动会自动迁移游客订单凭证、钱包审计字段，并清理旧版权限策略 3️⃣ compose 需删除 user 和 admin 两个服务，只保留 redis（+postgres）与 dujiao-next 4️⃣ 补上后台路径配置： web: admin_path: "/你的私密路径" 后台地址随之变为 https://你的域名/你的私密路径，记得通知管理员更新书签 5️⃣ 升级后请清一次 CDN / 浏览器缓存。旧版入口页可能仍被缓存，导致浏览器继续加载上一版前端，与新后端接口不匹配（本版已修复该策略，但存量缓存需手动清理） 📖 完整升级步骤：https://dujiao-next.com/deploy/upgrade 📝 更新日志：https://github.com/dujiao-next/dujiao-next/releases 此次更新范围和架构调整较大，请自行评估是否需要更新，做任何操作之前请完整备份你的数据，如果你实在对自己的技术拿捏不定，请交由AI进行评估或更新！

https://t.me/simonxbb 🙂开了一个个人频道， “爷们娘们，能不能走个面儿。独角群这么多人，您受累，把第一波关注点起来，咱就有了！”

#开发动向 😂由于前期next快速迭代和功能更新，代码质量和结构早已混乱和臃肿不堪， 目前正在做新一轮重构，将代码和结构目录以及功能重新进行梳理和划分， 这是一个比较重大的改动，所以目前暂时不会接受Github仓库PR和新功能开发。 下个版本开始，前后台不再需要独立部署，思来想去现在的部署方式的确过于麻烦和不友好， 以后前端静态文件也将统一使用golang的embed进行打包构建。 🙂简而言之： 以后，你只需要一个二进制文件即可运行整个服务，不用再去分别部署api/admin/user， 不排除后续会支持在后台“在线更新”的方式， 当然为了安全起见， 更新方式采用自动下载github的release方式，不会由独角这边控制下载源～

#小提示 ⚠️ Telegram短链域名 t.me 在没有任何预兆的情况下被突然暂停解析，原因未知！ t.me 域名外链在外部浏览器已经无法正常打开，客户端内深链不受影响。 请各位暂时使用 telegram.me 域名替换 t.me 以保障部分业务正常运行！

剧终 请各位站长安心使用，顺便提醒一下做好安全防范，不然就算Next后台做了许多的安全设计也防不住呆！ 还有当事人已经向我道歉了而且也不是当事人出口成脏，所以这件事就过去了！

#碎碎念 今天也许是开源以来最令人心寒的一天， 没错，我确实平时爱装点b，但大部分都是跟群友聊天打屁而已，装b不犯法吧？ 真正令人失望的是某些无端的指责和谩骂，是非对错已经不想去深究了。 我只想给各位说清楚几点： 1. 不管是曾经的“独角数卡”或是现在的“Dujiao-Next”，从始至终都是走的完全开源协议，即“MIT”和“GPLv3”协议。都是允许免费商用和个人使用的没有收取任何费用，唯一的要求就是要求你们保留一下开源标识仅此而已！ 开源即代表所有源代码都放在Github上面供任何人任何开发者审计，所以就算出现问题，我也没有任何义务去帮每个人解决问题，我图啥？我图助人为乐可以当饭吃？ 2.既然是走开源路线，我不需要对任何人负责和解释，因为代码和所有修改记录都是公开透明的，如果你需要解释和负责我建议请选择其他收费授权软件，也许会得到相关技术团队一对一解决问题。 3.如果有确凿的漏洞，请提供漏洞复现路径和严重程度，我虚心接受和立即修复，而不是一上来就甩锅漏洞，要我来排查解决。我连是你自己的问题还是系统的问题都不知道我解决什么？何况我有什么义务来解决吗？ 4.虽然我装逼，但是我不轻易骂人，除非你先开骂！ 到此为止各位晚安吧~

新模板预览 它是由Claude Code进行设计和编码的，风格相较于原来的模板更为紧凑和克制 你可以在后台系统设置-模板管理里面自由切换，后期将会有更多的模板供大家选择