更新接口不通过user_id绑定数据

docs/H5-积分商城接口文档.md

@@ -35,16 +35,15 @@
 
 ## 2. 身份与鉴权（重要）
 
-以下接口都会通过服务端逻辑解析“当前资产主体”，优先级如下：
+以下接口通过服务端解析「当前资产主体」，**仅**支持：
 
 1. **`session_id`**（GET/POST）：对应表 `mall_session`，未过期则可映射到资产主体  
-2. **`token`**（GET/POST 或 Header）：支持会员 token 或 `muser` token（H5 临时登录签发）  
-3. **`user_id`**（GET/POST）：
-   - 纯数字：视为 `mall_user_asset.id`
-   - 非纯数字：按 `mall_user_asset.playx_user_id` 查找
+2. **`token`**（GET/POST 或 Header `token` / `ba-token`）：会员 token 或 H5 临时登录签发的 **`muser`** token  
+
+不再支持单独传 `user_id` 作为鉴权参数（避免越权）。
 
 推荐做法：
-- H5 统一只用 **Header `token`**（值为 `muser` token），避免 URL 泄露与参数歧义。
+- H5 统一使用 **Header `token`**（`muser` 或 playX 换 session 后的凭证），避免 URL 泄露。
 
 ---
 
@@ -77,7 +76,7 @@ curl "https://{域名}/api/v1/temLogin?username=test001"
 
 **GET** ` /api/v1/mall/assets `
 
-鉴权：携带 `token` 或 `session_id` 或 `user_id`
+鉴权：携带 `token` 或 `session_id`
 
 成功返回 `data`：
 - `locked_points`：待领取积分
@@ -94,7 +93,7 @@ curl "https://{域名}/api/v1/temLogin?username=test001"
 
 参数：
 - `claim_request_id`：必填，幂等键（建议：`{业务前缀}_{assetId}_{毫秒时间戳}`）
-- 身份参数：`token` / `session_id` / `user_id` 三选一（推荐 `token`）
+- 身份参数：`token` / `session_id`（推荐 Header `token`）
 
 说明：
 - 同一个 `claim_request_id` 重复提交会直接返回成功（不会重复入账）
@@ -117,7 +116,7 @@ curl "https://{域名}/api/v1/temLogin?username=test001"
 
 参数：
 - `item_id`：必填
-- 身份参数：`token` / `session_id` / `user_id`
+- 身份参数：`token` / `session_id`
 
 返回：
 - `data.order_id`
@@ -132,7 +131,7 @@ curl "https://{域名}/api/v1/temLogin?username=test001"
 参数：
 - `item_id`：必填
 - `address_id`：必填，收货地址主键（`mall_address.id`，须为当前用户资产下地址）
-- 身份参数：`token` / `session_id` / `user_id`
+- 身份参数：`token` / `session_id`
 
 说明：服务端会将该地址在下单时刻的 **收货人 / 电话 / 完整地址** 写入订单字段（快照），并写入 `mall_order.mall_address_id` 关联所选地址。
 
@@ -144,7 +143,7 @@ curl "https://{域名}/api/v1/temLogin?username=test001"
 
 参数：
 - `item_id`：必填
-- 身份参数：`token` / `session_id` / `user_id`
+- 身份参数：`token` / `session_id`
 
 ---
 
@@ -152,7 +151,7 @@ curl "https://{域名}/api/v1/temLogin?username=test001"
 
 **GET** ` /api/v1/mall/orders `
 
-鉴权：`token` / `session_id` / `user_id`
+鉴权：`token` / `session_id`
 
 说明：
 - 返回最多 100 条
@@ -164,7 +163,7 @@ curl "https://{域名}/api/v1/temLogin?username=test001"
 
 **GET** ` /api/v1/mall/order `
 
-鉴权：`token` / `session_id` / `user_id`（同订单列表）
+鉴权：`token` / `session_id`（同订单列表）
 
 参数（Query）：
 - `order_id`：必填，商城订单主键 `mall_order.id`（兼容参数名 `id`）
@@ -191,7 +190,7 @@ curl -G "https://{域名}/api/v1/mall/order" \
 
 **GET** ` /api/v1/mall/pointsLogs `
 
-鉴权：携带 `token` 或 `session_id` 或 `user_id`
+鉴权：携带 `token` 或 `session_id`
 
 参数（Query）：
 - `limit`：可选，每页条数（默认 20，最大 100）