本文摘要：

全新重构的多商户代付系统解决了原版加密后门（eval(gzuncompress)动态执行及远程授权回调）和文件上传绕过漏洞（finfo校验、白名单、随机文件名），实现透明PHP路由器。系统支持多商户注册审核、用户提现、三种支付通道（易支付、官方公众号回调、拉卡拉MOSS），实测一周不封号，需PHP7.4+MySQL5.7+Nginx环境安装。

— 本文部分摘要灵感源自 DeepSeek 深度思考 ✨

全新多平台电商代付商城源码

这套系统来自狗友投稿里面有后门（去后门的源码已上传）

去掉已经赠送黄钻并永久封号

🔴 严重：加密后门 `public/api/index.php`

项目	内容
类型	DeckPHP V3 加密混淆代码执行
技术细节	文件内含 `eval(gzuncompress('...'))` 二进制混淆数据（39KB），成功解密后发现：包含外部授权服务器回调钩子（`__EUXXLS`），会联系 `moyu@qq.com` 的授权验证服务器；同时内嵌了 `return eval($_)` 的动态执行模式
修复方式	完全重写为透明的明文 PHP 路由器，功能 100% 等价（路由分发、中间件认证、控制器调度全部保留）

文件上传安全漏洞 `UploadController.php`

项目	内容
类型	文件类型绕过 → WebShell 上传风险
技术细节	原代码只校验 `$_FILES['type']`（客户端提供，可任意伪造），并从原始文件名提取扩展名（可构造 `shell.php.jpg`）
修复内容	① 用 `finfo` 读取文件实际内容校验真实 MIME；② 增加扩展名白名单；③ 用 `random_bytes()` 生成安全文件名，杜绝原始文件名注入

修复补全所有方法路由，还有一堆乱七八糟的东西

客户定制之前市面上有一套php的目录结构参差不齐很混乱域名风控严重付款几乎秒封

这套测试实际测试一周不死基于上一套代付模板整体重构网恋神器

支持多商户注册，后台进行审核，用户中心支持提现

支持第三方无限回调系统，和公众号官方回调（只需要后台配置回调地址即可）

支持三种支付对接：易支付，官方支付，拉卡拉moss

本文所涉及到的无限回调系统以及拉卡拉易支付等，本站都有过分享，都经过测试可以下载使用

安装教程：

NEXUS商城

智能收银台商城系统，内置14种收银台风格，支持彩虹易支付和拉卡拉MOSS双支付通道。

环境要求

项目	要求
PHP	7.4
MySQL	5.7+
Web服务器	Nginx
PHP扩展	openssl、curl、pdo_mysql、json、mbstring

安装

宝塔创建站点，运行目录设为 /public
上传 nexus-mall 目录内容到网站根目录
访问 https://你的域名/install/install.php，按提示配置数据库和管理员账号
宝塔网站设置 → 伪静态，粘贴以下内容：

location /api/ {
    try_files $uri /api/index.php$is_args$args;
}

location ~ \.php$ {
    fastcgi_pass unix:/tmp/php-cgi.sock;
    fastcgi_index index.php;
    fastcgi_param SCRIPT_FILENAME $document_root$fastcgi_script_name;
    include fastcgi_params;
}