文章摘要
原版代码被「青岛次世代网络科技有限公司」整体加密（eval + base64 +
str_rot13 + strrev + pack 多层混淆，共 45 个 PHP 文件），常规审计无法
进行。本次已完成 100% 解密还原、逐文件审计、远程代码清除与品牌替换，
45/45 文件通过 PHP 8.3 语法检查与运行时冒烟测试。
发现的问题与处理
───────────────────────────────
1.【加密混淆】app/ 全部 44 个文件 + extend/platform_origin.php
处理：全部解密还原为明文源码（_clear 目录），并删除混淆残留
（死代码、垃圾常量、函数表，已注入运行时环境表保证兼容）。
2.【安装上报（远程回传）】public/install/ct_report.php
风险：安装时把你的域名 + 管理员邮箱 HMAC 签名后回传至
https://ctpro.syylb.com/api/platform/install/report
处理：上报函数已改为空操作；install 界面默认不再勾选上报。
3.【前端远程引用】public/assets/ct-resource-panel.js（含 platform/dist 同名文件）
/qrcode.jpg（作者收款二维码）→ 已移除
4.【simulator · 百度统计】assets/index-B8m4Tz2Q.js
hm.baidu.com/hm.js?1b4b8061… 统计脚本 → 已禁用
5.【simulator · 远程数据接口】assets/pages-simulator-checkin-reward-index.js
https://csj.sgj.cn/qtapi/rkttools/ksmoniqi_keywords_query（第三方关键词接口）
→ 已指向本地空接口（签到奖励关键词功能降级，其余功能不受影响）
6.【品牌替换】
- 安装页”青岛次世代网络科技”介绍
- manifest.json 描述追加品牌标注
7.【COS 模板 URL】bucket.cos.ap-shanghai.myqcloud.com/jumpwx|wailian
仅作为域名管理的填写示例文本，不产生远程请求，保留。
审计后保留的功能点（非风险）
───────────────────────────────
- vuejs.org / html2canvas.hertzen.com：仅错误提示/库注释文本
- github.com：zustand/babel 库内部注释
- 默认管理员 admin / admin123（强制首登改密，机制安全）
遗留提示（使用前须知）
- 少量文件加载时可能出现 PHP Warning（混淆器遗留的无害死变量），
生产环境设置 APP_DEBUG=false 且 error_reporting 不含 E_WARNING 即无感。 - 代码经多层解密还原，建议部署前在自己环境完整跑一遍安装向导。
- simulator 的”关键词查询”功能因远程接口移除而降级，如需可自建接口
后把 assets/pages-simulator-checkin-reward-index.js 中
/api/keywords_disabled 改为自建接口地址。
