文章摘要
该文章介绍了一套“微乐掼蛋”H5/小程序源码项目，包含前端10个客户端页面（游戏大厅、房间列表、对局、商城、个人中心、推广等）及后台管理模块（数据概览、用户管理、代理审核、提现审核、订单管理、系统配置）。技术栈为Vue3+Vite、Express、Socket.IO、MySQL、Redis，说明了部署架构与端口配置。安全审计确认无后门，但存在支付回调无验签、沙箱支付未限制、schema错误、敏感凭据随包分发、JWT弱默认密钥、CORS全开等高危漏洞，需上线前修复；同时提示棋牌+多级分销+提现模式存在合规风险。
这玩意狗友投稿的，已经赠送黄钻奖励，界面有点粗糙可以进行优化，以看就是AI写出来的
前端客户端页面清单
| 序号 | 界面名称 | 文件路径 | 功能简述 |
|---|---|---|---|
| 01 | 游戏大厅 | client/src/views/GameHall.vue |
用户信息栏；钻石 / 金币 / 房卡资源展示；掼蛋、斗地主、跑得快、好友房、比赛、组队 6 个游戏入口；快捷操作；底部 Tab 导航 |
| 02 | 房间列表 | client/src/views/RoomListPage.vue |
按游戏类型筛选房间；房间卡片展示房间号、类型、人数、消耗；加入房间 |
| 03 | 创建房间 | client/src/views/CreateRoomPage.vue |
3 种游戏类型选择；局数、人数、红心配牌、历史查看等规则开关配置；房卡消耗提示；创建确认 |
| 04 | 邀请玩家 | 集成在 GameTablePage | 四人座位布局（上 / 左 / 右 / 下）；玩家头像与状态；等待开局界面 |
| 05 | 掼蛋对局 | client/src/views/GameTablePage.vue |
核心对局界面，绿色牌桌背景；四人座位；手牌扇形展示（27 张）；选牌出牌、不出、提示；操作按钮；侧边栏（聊天 / 表情 / 设置 / 解散）；计时器；离开确认弹窗 |
| 06 | 商城 | client/src/views/ShopPage.vue |
资源余额展示；4 档钻石充值（含赠送）；4 档房卡购买（含赠送）；微信 / 支付宝 / 银行卡支付选择；购买按钮 |
| 07 | 个人中心 | client/src/views/PersonalCenterPage.vue |
头像、VIP 徽章；总局数 / 胜场 / 胜率统计；钻石 / 金币 / 房卡 / 可提现钱包；6 宫格菜单：赠送、推广、提现、充值、设置、退出；最近对局记录 |
| 08 | 卡票赠送 | client/src/views/GiftPage.vue |
可选房卡 / 钻石 / 金币；填写接收人 ID 或手机号；增减赠送数量；留言；余额校验；确认赠送 |
| 09 | 邀请推广 | client/src/views/AgentPromotePage.vue |
代理系统。非代理：展示 L1-L5 五级佣金（30%/15%/8%/4%/2%），代理申请按钮；代理：代理等级、推广码、可提现 / 累计佣金 / 下级代理 / 直属玩家统计、推广二维码、佣金明细、团队树形数据 |
| 10 | 设置 | client/src/views/SettingsPage.vue |
账号信息；账号安全（改密码、绑定手机、绑定微信）；音效 / 音乐 / 震动 / 深色模式 4 项偏好开关；版本号、用户协议、隐私政策、退出登录 |
后台管理系统模块清单
- 数据概览：总用户数、今日新增、订单总数、今日营收、代理商数，5 项数据卡片
- 用户管理：用户搜索、查看详情、账号冻结 / 解封
- 代理审核：待审核代理列表，审核通过 / 驳回操作
- 提现审核：待处理提现列表；风控标记（通过 / 可疑 / 风险）；打款通过、驳回提现
- 订单管理：充值订单查询、对账
- 系统配置：在线修改佣金比例、费率等系统参数
微乐掼蛋 H5 · 小程序源码
房卡掼蛋游戏平台（Vue3 H5 + Node.js + Socket.IO + MySQL + Redis）从零到上线的完整步骤，左侧目录随时切换。
Vue 3.4 + Vite 5Express 4Socket.IO（/ws）MySQL 5.7 / 8.0Redis（可选，自动降级）PM2 守护
01项目概览
先弄清楚要部署的东西有几个、各自在哪，后面步骤才不会乱。
| 组成部分 | 目录 | 说明 |
|---|---|---|
| 后端服务 | server/ |
Express API + Socket.IO 实时对战，端口 3000（仅本机，由 Nginx 反代） |
| H5 前端 | client/ |
Vue3 构建产物 dist/，Hash 路由，由 Nginx 直接托管 |
| 微信小程序 | miniprogram/ |
可选，需 HTTPS 域名 + 微信后台配置合法域名后才能上线 |
关键端口与路径
- HTTP 对外：80 / 443（Nginx）
- Node 后端：127.0.0.1:3000，不对外开放
- WebSocket 路径：
/ws（Socket.IO 自定义 path，Nginx 必须做 upgrade 反代） - 健康检查：
/health - 后台管理入口：
/#/admin（Hash 路由，必须带#）
ℹ️
前端请求 /api/* 与 /ws，Nginx 把它们反代到 Node 3000 端口，其余请求直接返回静态 index.html。这是整套反代配置的核心逻辑。
02安全审计结论（审计时间：2026-10-20）
已对 server/client/miniprogram 全部源码做后门与漏洞排查，结论如下。
✅
无后门、无恶意代码。全量排查未发现 eval、child_process、代码混淆、可疑外联域名；所有外部请求仅指向微信 / 支付宝 / 银联官方网关。可作为正常项目部署。
但存在以下安全漏洞，上线前必须处理
| 等级 | 问题 | 位置 | 风险 |
|---|---|---|---|
| 严重 | 通用支付回调无任何验签 | payment.js → POST /api/payment/callback/:channel |
任何人 POST { "order_no": "GD..." } 即可将订单标记为已支付、白拿钻石/房卡。订单号格式可预测（GD+时间戳）。必须删除或加验签 |
| 严重 | sandbox 模拟支付无环境限制 | payment.js → POST /api/payment/sandbox-pay |
登录用户可对自己创建的任意订单免费”支付成功”。演示用接口，生产必须禁用 |
| 高 | schema.sql 有两处错误 | server/database/schema.sql |
users 表 ` diamonds` 列名带前导空格；orders.paid_at 字段重复定义。直接导入会报错或产生异常字段，导入前必须修复（见第 06 节） |
| 高 | 敏感凭据随包分发 | server/.env |
包内自带 DB root 密码、JWT_SECRET。凡是被别人拿到的包，上线时全部凭据必须重新生成 |
| 高 | JWT_SECRET 有弱默认值 | auth.js / payment.js / admin.js |
兜底密钥 guan-dan-game-secret-2024 是公开可知的，.env 未生效时可被伪造管理员 Token |
| 高 | CORS 全开 | .env → CORS_ORIGIN=* |
任意网站可跨域调用 API，上线改为自己的域名 |
| 中 | 微信登录沙箱降级 | auth.js → /wx-login |
未配置 WX_APPID/WX_SECRET 时，任意 code 都能造号登录。上线需配置真实小程序密钥 |
| 中 | 游客登录可刷资源 | auth.js → /guest |
每调用一次送 100 钻 + 5 房卡，虽有每分钟 10 次限流，仍可脚本刷。生产建议关闭或取消赠送 |
| 中 | 管理员接口返回密码哈希 | admin.js → SELECT * FROM users |
用户列表接口返回 password 哈希字段，建议改为显式字段列表 |
| 低 | 支付宝下单未实现 | payment.js → aliUnifiedOrder |
占位函数，配置了也不会真正下单（有清晰报错提示），不算漏洞 |
⚠️
合规风险提示：本项目包含真实货币充值、房卡消耗、5 级代理佣金 + 提现体系。此类”棋牌 + 多级分销 + 提现”模式在国内存在较高法律风险（可能被认定为赌博/传销平台）。本教程仅用于技术学习与内网演示，正式运营前请务必自行评估合规性。
ℹ️
上述严重/高危项的修复操作已全部整合进第 11 节「上线前加固清单」，部署完照着做一遍即可。
