这玩意狗友投稿的，已经赠送黄钻奖励，界面有点粗糙可以进行优化，以看就是AI写出来的

前端客户端页面清单

序号	界面名称	文件路径	功能简述
01	游戏大厅	client/src/views/GameHall.vue	用户信息栏；钻石 / 金币 / 房卡资源展示；掼蛋、斗地主、跑得快、好友房、比赛、组队 6 个游戏入口；快捷操作；底部 Tab 导航
02	房间列表	client/src/views/RoomListPage.vue	按游戏类型筛选房间；房间卡片展示房间号、类型、人数、消耗；加入房间
03	创建房间	client/src/views/CreateRoomPage.vue	3 种游戏类型选择；局数、人数、红心配牌、历史查看等规则开关配置；房卡消耗提示；创建确认
04	邀请玩家	集成在 GameTablePage	四人座位布局（上 / 左 / 右 / 下）；玩家头像与状态；等待开局界面
05	掼蛋对局	client/src/views/GameTablePage.vue	核心对局界面，绿色牌桌背景；四人座位；手牌扇形展示（27 张）；选牌出牌、不出、提示；操作按钮；侧边栏（聊天 / 表情 / 设置 / 解散）；计时器；离开确认弹窗
06	商城	client/src/views/ShopPage.vue	资源余额展示；4 档钻石充值（含赠送）；4 档房卡购买（含赠送）；微信 / 支付宝 / 银行卡支付选择；购买按钮
07	个人中心	client/src/views/PersonalCenterPage.vue	头像、VIP 徽章；总局数 / 胜场 / 胜率统计；钻石 / 金币 / 房卡 / 可提现钱包；6 宫格菜单：赠送、推广、提现、充值、设置、退出；最近对局记录
08	卡票赠送	client/src/views/GiftPage.vue	可选房卡 / 钻石 / 金币；填写接收人 ID 或手机号；增减赠送数量；留言；余额校验；确认赠送
09	邀请推广	client/src/views/AgentPromotePage.vue	代理系统。非代理：展示 L1-L5 五级佣金（30%/15%/8%/4%/2%），代理申请按钮；代理：代理等级、推广码、可提现 / 累计佣金 / 下级代理 / 直属玩家统计、推广二维码、佣金明细、团队树形数据
10	设置	client/src/views/SettingsPage.vue	账号信息；账号安全（改密码、绑定手机、绑定微信）；音效 / 音乐 / 震动 / 深色模式 4 项偏好开关；版本号、用户协议、隐私政策、退出登录

后台管理系统模块清单

1. 数据概览：总用户数、今日新增、订单总数、今日营收、代理商数，5 项数据卡片
2. 用户管理：用户搜索、查看详情、账号冻结 / 解封
3. 代理审核：待审核代理列表，审核通过 / 驳回操作
4. 提现审核：待处理提现列表；风控标记（通过 / 可疑 / 风险）；打款通过、驳回提现
5. 订单管理：充值订单查询、对账
6. 系统配置：在线修改佣金比例、费率等系统参数

微乐掼蛋 H5 · 小程序源码

房卡掼蛋游戏平台（Vue3 H5 + Node.js + Socket.IO + MySQL + Redis）从零到上线的完整步骤，左侧目录随时切换。

Vue 3.4 + Vite 5Express 4Socket.IO（/ws）MySQL 5.7 / 8.0Redis（可选，自动降级）PM2 守护

01项目概览

先弄清楚要部署的东西有几个、各自在哪，后面步骤才不会乱。

组成部分	目录	说明
后端服务	server/	Express API + Socket.IO 实时对战，端口 3000（仅本机，由 Nginx 反代）
H5 前端	client/	Vue3 构建产物 dist/，Hash 路由，由 Nginx 直接托管
微信小程序	miniprogram/	可选，需 HTTPS 域名 + 微信后台配置合法域名后才能上线

关键端口与路径

• HTTP 对外：80 / 443（Nginx）
• Node 后端：127.0.0.1:3000，不对外开放
• WebSocket 路径：/ws（Socket.IO 自定义 path，Nginx 必须做 upgrade 反代）
• 健康检查：/health
• 后台管理入口：/#/admin（Hash 路由，必须带 #）

ℹ️

前端请求 /api/* 与 /ws，Nginx 把它们反代到 Node 3000 端口，其余请求直接返回静态 index.html。这是整套反代配置的核心逻辑。

02安全审计结论（审计时间：2026-10-20）

已对 server/client/miniprogram 全部源码做后门与漏洞排查，结论如下。

✅

无后门、无恶意代码。全量排查未发现 eval、child_process、代码混淆、可疑外联域名；所有外部请求仅指向微信 / 支付宝 / 银联官方网关。可作为正常项目部署。

但存在以下安全漏洞，上线前必须处理

等级	问题	位置	风险
严重	通用支付回调无任何验签	payment.js → POST /api/payment/callback/:channel	任何人 POST { "order_no": "GD..." } 即可将订单标记为已支付、白拿钻石/房卡。订单号格式可预测（GD+时间戳）。必须删除或加验签
严重	sandbox 模拟支付无环境限制	payment.js → POST /api/payment/sandbox-pay	登录用户可对自己创建的任意订单免费”支付成功”。演示用接口，生产必须禁用
高	schema.sql 有两处错误	server/database/schema.sql	users 表 ` diamonds` 列名带前导空格；orders.paid_at 字段重复定义。直接导入会报错或产生异常字段，导入前必须修复（见第 06 节）
高	敏感凭据随包分发	server/.env	包内自带 DB root 密码、JWT_SECRET。凡是被别人拿到的包，上线时全部凭据必须重新生成
高	JWT_SECRET 有弱默认值	auth.js / payment.js / admin.js	兜底密钥 guan-dan-game-secret-2024 是公开可知的，.env 未生效时可被伪造管理员 Token
高	CORS 全开	.env → CORS_ORIGIN=*	任意网站可跨域调用 API，上线改为自己的域名
中	微信登录沙箱降级	auth.js → /wx-login	未配置 WX_APPID/WX_SECRET 时，任意 code 都能造号登录。上线需配置真实小程序密钥
中	游客登录可刷资源	auth.js → /guest	每调用一次送 100 钻 + 5 房卡，虽有每分钟 10 次限流，仍可脚本刷。生产建议关闭或取消赠送
中	管理员接口返回密码哈希	admin.js → SELECT * FROM users	用户列表接口返回 password 哈希字段，建议改为显式字段列表
低	支付宝下单未实现	payment.js → aliUnifiedOrder	占位函数，配置了也不会真正下单（有清晰报错提示），不算漏洞

⚠️

合规风险提示：本项目包含真实货币充值、房卡消耗、5 级代理佣金 + 提现体系。此类”棋牌 + 多级分销 + 提现”模式在国内存在较高法律风险（可能被认定为赌博/传销平台）。本教程仅用于技术学习与内网演示，正式运营前请务必自行评估合规性。

ℹ️

上述严重/高危项的修复操作已全部整合进第 11 节「上线前加固清单」，部署完照着做一遍即可。