优化Token验证接口

docs/PlayX-调用积分商城接口说明.md

@@ -304,7 +304,7 @@ curl -X POST 'https://{商城域名}/api/v1/mall/dailyPush' \
 **前端入参约定（重要）**：
 - 调用本接口时 **仅需 `token`**（或兼容 `session`）；**不要**传 `request_id` / `request_date` / 商户字段（均由商城后端生成后请求上游）。
 - 建议 **`Content-Type: application/json`**，Body：`{"token":"..."}`。若使用 **form-data**（如图二），请同样只传 `token`（及可选 `lang`）；避免缺少 `token` 键名。
-- 商城请求上游回调地址时：Body 为 **`request_id`、`request_date`、`token`**；`X-Request-Signature` 与 angpow-imports 同源；canonical 为 `merchant_code=...&request_date=...&request_id=...&token=...`（`merchant_code` 来自配置，仅用于签名）。
+- 商城请求上游回调地址时：Body **仅** **`request_id`、`token`**（与 PlayX 文档一致）；`X-Request-Signature` 与 angpow-imports **同源算法**，canonical 为 **`request_id=...&token=...`**。
 
 **请求示例：**
 ```json
@@ -644,8 +644,8 @@ GET /api/v1/mall/addressList?session_id=fc7f3e3f0d0f4cb29f66e4c8fbab4f66
 | `PLAYX_DAILY_PUSH_SECRET` | 非空则 Daily Push 必须带合法 HMAC 头 |
 | `PLAYX_VERIFY_TOKEN_LOCAL_ONLY` | 为 true 时 verifyToken 不请求 playX 远程 |
 | `PLAYX_ANGPOW_IMPORT_BASE_URL` | Angpow 推送等接口基地址；**相对路径** `verify-token` 时亦作其基地址 |
-| `PLAYX_TOKEN_VERIFY_URL` | **完整 `https://` URL**：回调 Body 为 `request_id`/`request_date`/`token`，签名 canonical 含配置项 `merchant_code`；**相对路径**：拼基地址 + 商户四字段 |
-| `PLAYX_ANGPOW_MERCHANT_CODE` | 回调仅写入签名字符串；相对路径同时进 Body |
+| `PLAYX_TOKEN_VERIFY_URL` | **完整 `https://` URL**：回调 Body 仅 `request_id`+`token`，签名明文同字段；**相对路径**：拼基地址 + 商户四字段 |
+| `PLAYX_ANGPOW_MERCHANT_CODE` | 仅 **相对路径** `verify-token` 需要 |
 | `PLAYX_ANGPOW_IMPORT_AUTH_KEY` | 回调与相对路径的 HMAC 密钥（与 angpow-imports 相同） |
 
 ---