1.重新设置Token验证接口

docs/PlayX-调用积分商城接口说明.md

@@ -299,8 +299,10 @@ curl -X POST 'https://{商城域名}/api/v1/mall/dailyPush' \
 
 **前端入参约定（重要）**：
 - 前端/客户端调用本接口时，**只需要传 `token`**（或兼容传 `session`）。
-- `merchant_code`、`request_date`、`request_id`、`X-Request-Signature` 由商城后端生成并带给 playX，前端无需参与签名。
-- 若仅传 `token` 仍校验失败，通常是 token 本身无效/过期或对方网关路径未放通，并非前端少传字段。
+- 商城后端调用 playX 校验时：
+  - 若 **`PLAYX_TOKEN_VERIFY_URL` 为完整 `https://` URL**（回调网关）：后端只向对方发送 **`request_id` + `token`**（与对端文档一致），无需前端传商户字段。
+  - 若为**相对路径**：后端会拼 **`PLAYX_ANGPOW_IMPORT_BASE_URL`**，并生成 **`merchant_code` / `request_date` / `request_id` / `X-Request-Signature`**，前端仍不参与签名。
+- 若仅传 `token` 仍校验失败，多为 token 无效/过期或上游 URL 未放通，并非前端少传字段。
 
 **请求示例：**
 ```json
@@ -630,10 +632,10 @@ GET /api/v1/mall/addressList?session_id=fc7f3e3f0d0f4cb29f66e4c8fbab4f66
 |-----------------|------|
 | `PLAYX_DAILY_PUSH_SECRET` | 非空则 Daily Push 必须带合法 HMAC 头 |
 | `PLAYX_VERIFY_TOKEN_LOCAL_ONLY` | 为 true 时 verifyToken 不请求 playX 远程 |
-| `PLAYX_ANGPOW_IMPORT_BASE_URL` | 远程 `verify-token` 基础地址（当前联调可含站点前缀路径） |
-| `PLAYX_TOKEN_VERIFY_URL` | 远程 `verify-token` 路径（默认 `/api/v1/auth/verify-token`） |
-| `PLAYX_ANGPOW_MERCHANT_CODE` | `verify-token` 请求体 `merchant_code` |
-| `PLAYX_ANGPOW_IMPORT_AUTH_KEY` | `verify-token` 签名密钥（HMAC-SHA1，Base64 输出） |
+| `PLAYX_ANGPOW_IMPORT_BASE_URL` | Angpow 推送等接口基地址；**相对路径** `verify-token` 时亦作其基地址 |
+| `PLAYX_TOKEN_VERIFY_URL` | **完整 `https://` URL**：回调校验，Body 仅 `request_id`+`token`；**相对路径**：拼基地址 + 商户签名体 |
+| `PLAYX_ANGPOW_MERCHANT_CODE` | 仅相对路径 `verify-token` 时使用 |
+| `PLAYX_ANGPOW_IMPORT_AUTH_KEY` | 仅相对路径 `verify-token` 时 HMAC 密钥 |
 
 ---