参数：redirect_uri 你的回调地址，state 任意字符串（可选）

GET /api/user/wechat/auth-url?redirect_uri=https://你的域名/callback&state=abc

→ {
  "code": 0,
  "data": {
    "auth_url": "https://open.weixin.qq.com/connect/oauth2/..."
  }
}

把 auth_url 作为微信登录按钮跳转链接。用户点击→授权→微信回调你的 redirect_uri?code=xxx。

Content-Type: application/json

{ "code": "微信回调带来的 code" }

→ {
  "code": 0,
  "data": {
    "user_id": 3,
    "token": "eyJhbG...",
    "expires_in": 86400,
    "is_new": true   // 首次扫码为 true
  }
}

POST /api/user/qr-login/start

→ {
  "code": 0,
  "data": {
    "key": "a1b2c3...",
    "qr_url": "https://userpay.aitalker.vip/api/user/qr-login/go?key=a1b2c3...",
    "expire_seconds": 300
  }
}

把 qr_url 生成二维码显示给用户。

GET /api/user/qr-login/check?key=a1b2c3...

→ { "code": 0, "data": { "status": "pending" } }   // 继续等
→ { "code": 0, "data": { "status": "done", "token": "eyJh...", "user_id": 1 } }  // 完成
→ { "code": 0, "data": { "status": "expired" } }  // 超时

每 2 秒轮询一次。done 返回 token（查后即焚，同一个 key 只能取一次）。

Authorization: Bearer <token>
Content-Type: application/json

{ "code": "wx.getPhoneNumber 返回的 code" }

→ { "code": 0, "message": "ok" }

Authorization: Bearer <token>

→ {
  \"code\": 0,
  \"data\": {
    \"user_id\": 1,
    \"phone\": \"138****8000\",
    \"nickname\": \"张三\",
    \"created_at\": \"2026-06-06T00:00:00\"
  }
}

X-API-Key: <api-key>
Content-Type: application/json

{
  "user_id": 1,
  "out_trade_no": "MYAPP20260606001",
  "description": "会员月卡",
  "amount": 990,
  "pay_type": "jsapi",
  "openid": "oUpF8u...",
  "notify_url_b": "https://你的域名/callback"
}

Authorization: Bearer <JWT token>
Content-Type: application/json

{
  "out_trade_no": "YIJIAN20260607001",
  "description": "1元建站 - 会员",
  "amount": 100,
  "pay_type": "native",
  "notify_url_b": ""    // 可选，支付成功通知地址
}

→ {
  "code": 0,
  "message": "ok",
  "data": {
    "prepay_id": "",
    "pay_params": {
      "code_url": "weixin://wxpay/bizpayurl?pr=xxx"
    }
  }
}

X-API-Key: <api-key>

→ {
  "out_trade_no": "...",
  "trade_state": "SUCCESS",
  "transaction_id": "420000...",
  "paid_amount": 990,
  "paid_at": "2026-06-06T13:07:49",
  "source": "wechat"
}

X-API-Key: <api-key>
Content-Type: application/json

{
  "out_trade_no": "MYAPP20260606001",
  "refund_amount": 990,
  "reason": "用户申请退款"
}

X-App-Key: <app-key>

→ {
  "code": 0,
  "data": {
    "credits": 100,
    "credits_used": 30,
    "available": 70
  }
}

用户不存在时返回全 0。

X-App-Key: <app-key>
Content-Type: application/json

{
  "external_user_id": "user_abc",
  "amount": 1,
  "action": "generate",
  "reason": "生成文章"
}

X-App-Key: <app-key>
Content-Type: application/json

{
  "external_user_id": "user_abc",
  "amount": 100,
  "reason": "初始赠送"
}

X-App-Key: <app-key>

→ {
  "code": 0,
  "data": {
    "total": 3,
    "users": [{ "external_user_id": "...", "credits": 100, ... }]
  }
}

X-App-Key: <app-key>

→ {
  "code": 0,
  "data": {
    "total": 12,
    "logs": [{ "action": "deduct", "change_amount": -1, ... }]
  }
}

不传 external_user_id 则查全应用日志。

返回二维码扫码页面。仅 ADMIN_USER_IDS 或后台「设为管理员」的用户可登录。

检查登录状态（需 Cookie）。返回 {id, nickname, avatar_url, is_super}。

需管理员 Cookie。

→ {
  "code": 0,
  "data": {
    "total": 3,
    "users": [{
      "id": 3,
      "phone": "138****1234",
      "nickname": "囍",
      "has_openid": true,
      "is_admin": true,
      "admin_via_env": true,
      "avatar_url": "https://...",
      "province": "上海"
    }]
  }
}

search 可选。后台 UI 可对用户「设为管理员」/「取消管理员」。

用户详情 + 最近 50 条订单。需管理员 Cookie。

设为管理员。用户须已绑定微信（有 openid）。需管理员 Cookie。

取消管理员。不能取消自己或唯一管理员。若仍在 ADMIN_USER_IDS 中会提示改 .env。需管理员 Cookie。

列出所有应用，含用户数。需管理员 Cookie。

Content-Type: application/json

{
  "name": "一言建站",
  "description": "...",
  "callback_url": "https://yiyan.aitalker.vip/api/pay/callback"
}

返回 {id, name, api_key}。api_key 仅创建时返回一次，给应用服务端作 X-App-Key 用。

应用详情，含用户额度列表。需管理员 Cookie。

更新应用名称 / 说明 / 回调地址。需管理员 Cookie。

Content-Type: application/json

{
  "external_user_id": "user_abc",
  "amount": 100,
  "reason": "用户充值"
}

amount 正数=增加，负数=扣减。需管理员 Cookie。

总用户数、订单数、收入等。需管理员 Cookie。

订单列表，支持应用/日期/状态筛选。需管理员 Cookie。

Content-Type: application/json

{ "token": "用户 JWT Token", "headimgurl": "头像URL（可选）" }

QR 登录成功后，用用户 JWT 换取管理员 Cookie。仅管理员用户成功。

清除管理员 Cookie。需管理员 Cookie。