1.重新设置Token验证接口

docs/PlayX-调用积分商城接口说明.md

@@ -300,8 +300,8 @@ curl -X POST 'https://{商城域名}/api/v1/mall/dailyPush' \
 **前端入参约定（重要）**：
 - 前端/客户端调用本接口时，**只需要传 `token`**（或兼容传 `session`）。
 - 商城后端调用 playX 校验时：
-  - 若 **`PLAYX_TOKEN_VERIFY_URL` 为完整 `https://` URL**（回调网关）：后端只向对方发送 **`request_id` + `token`**（与对端文档一致），无需前端传商户字段。
-  - 若为**相对路径**：后端会拼 **`PLAYX_ANGPOW_IMPORT_BASE_URL`**，并生成 **`merchant_code` / `request_date` / `request_id` / `X-Request-Signature`**，前端仍不参与签名。
+  - 若 **`PLAYX_TOKEN_VERIFY_URL` 为完整 `https://` URL**（回调网关）：**`X-Request-Signature` 生成方式与 angpow-imports（`PLAYX_ANGPOW_IMPORT_PATH`）一致**（`HMAC-SHA1` → `Base64`，密钥 `PLAYX_ANGPOW_IMPORT_AUTH_KEY`）；Body 含 **`merchant_code`、`report_date`、`request_id`、`token`**；canonical 为 `merchant_code=...&report_date=...&request_id=...&token=...`。
+  - 若为**相对路径**：后端会拼 **`PLAYX_ANGPOW_IMPORT_BASE_URL`**，Body 使用 **`request_date`**，并生成 **`merchant_code` / `request_date` / `request_id` / `X-Request-Signature`** 等，前端仍不参与签名。
 - 若仅传 `token` 仍校验失败，多为 token 无效/过期或上游 URL 未放通，并非前端少传字段。
 
 **请求示例：**
@@ -633,9 +633,9 @@ GET /api/v1/mall/addressList?session_id=fc7f3e3f0d0f4cb29f66e4c8fbab4f66
 | `PLAYX_DAILY_PUSH_SECRET` | 非空则 Daily Push 必须带合法 HMAC 头 |
 | `PLAYX_VERIFY_TOKEN_LOCAL_ONLY` | 为 true 时 verifyToken 不请求 playX 远程 |
 | `PLAYX_ANGPOW_IMPORT_BASE_URL` | Angpow 推送等接口基地址；**相对路径** `verify-token` 时亦作其基地址 |
-| `PLAYX_TOKEN_VERIFY_URL` | **完整 `https://` URL**：回调校验，Body 仅 `request_id`+`token`；**相对路径**：拼基地址 + 商户签名体 |
-| `PLAYX_ANGPOW_MERCHANT_CODE` | 仅相对路径 `verify-token` 时使用 |
-| `PLAYX_ANGPOW_IMPORT_AUTH_KEY` | 仅相对路径 `verify-token` 时 HMAC 密钥 |
+| `PLAYX_TOKEN_VERIFY_URL` | **完整 `https://` URL**：回调校验，签名与 angpow-imports 同源；**相对路径**：拼基地址 + `request_date` 商户体 |
+| `PLAYX_ANGPOW_MERCHANT_CODE` | 回调与相对路径 `verify-token` 均需 |
+| `PLAYX_ANGPOW_IMPORT_AUTH_KEY` | 回调与相对路径 `verify-token` 的 HMAC 密钥（与 angpow-imports 相同） |
 
 ---