H5商城源码带后门?支持抖音、快手、视频号模板,上线前这7步审计照着走

卖家说「后门已经清掉了」。这句话本身，就是审计清单的第一条——因为它说明这类包里出现后门是常态，而「暂未发现」是一个动作的结束，不是一个结论的成立。

这篇不聊功能，只聊一件事：手里有这么一份源码，上线之前该按什么顺序、查哪几个地方。清单在 PART 06 和 PART 07，急着用可以先翻过去。

先把对象说清楚。

这套源码在下载站的定位是「H5 商城系统」，卖点三句话：三套前端模板（抖音小店、快手小店、视频号小店）可随意切换；免登录即可下单购物；支付对接易支付，微信支付宝双通道。

再往后翻，还有几句更关键的：支持开通分站，每个分站单独管理、单独绑定域名、单独设置授权到期时间。

看起来是个很轻的商城。但把这几个卖点翻译成技术语言，它的敏感面就露出来了：

真正让人决定写这一篇的，是源码站自己在详情页里留的那句话：

这句话有两层意思。第一层是坦诚，值得肯定。第二层更值得琢磨：一个分发方愿意花时间清一遍后门，恰恰说明这类源码包里出现后门是常态，而不是意外。

所以这篇不谈它有什么功能，只谈一件事：当你手里有这么一份源码，上线之前该按什么顺序查一遍。

很多人拿到源码第一件事是翻目录结构，看看写得规不规范。这个顺序其实是反的。

规范的代码不代表安全，凌乱的代码也不代表危险。审计的效率，取决于你先看哪里。我通常按这个顺序走：

这四步的顺序逻辑很简单：能被外部触发、且能直接造成损失的，优先看。

按这个路径，这套 H5 商城的审计点就排出来了。下面一个一个说。

先说个前提：以下所有判断，都不是「我发现了什么漏洞」，而是部署前你可以自己逐项核对的位置。任何源码包都适用这个框架。

关于支付回调，你要核对的只有两件事。

其二，金额有没有二次比对

回调里带回来的金额，和数据库里这笔订单原本的金额，是不是在校验之后才发货。不少「看起来能跑」的系统只校验订单号、不校验金额。这类系统一旦被外部摸到，损失是实打实的。

然后是「偷单」。

这套系统在 2026 年 2 月 7 日的一次更新中，新增了一个叫「偷单」的后台开关。官方说明写得很坦率：

这里不展开它的实现方式，只看它的性质就够了：

它让分站经营者看到的账，和系统里真实发生的交易，可以不一致。

而分站是什么？是这套系统的商业化方式——你开分站，别人给你卖货，你按授权给权限、按到期时间续费。这个模式下，分站经营者和主站之间本应有一份信任契约。一个能让主站静默搬运分站已付款订单、且在分站后台不留痕的功能，把这份契约直接架空了。

分站机制的收益点在授权到期时间。所以审计的核心问题只有一个：

这个时间，是在服务端每次请求时判断的，还是只在后台页面上显示一下？

这两种写法的差别是生死级的。如果到期判断只出现在管理界面的渲染逻辑里，那它约束的是「看的人」，不是「系统本身」。规范做法是：所有涉及授权的业务入口，在服务端统一过一个授权中间层，过期即拒，与界面无关。

审计时怎么找？顺着分站相关的关键词去搜判断逻辑，看它出现在入口文件或统一中间件里，还是散落在个别页面的显示代码里。

同一个位置还要看第二件事：域名绑定是不是服务端校验的。

分站支持单独绑定域名，意味着域名成了租户标识的一部分。如果域名到分站标识的映射只在配置表里写死、请求传什么就用什么，那租户隔离就是形式上的。多租户系统的第一性原则是：租户身份必须由服务端从请求本身推导，而不是从参数里读取。

顺带说一句环境。详情页写的测试环境是 PHP 7.2 加 MySQL 5.6，另一个渠道的介绍里写的是 PHP 7.4 加 MySQL 5.7。同一个系统，两个来源的部署环境口径不一致——这类信息不对称本身就是信号，说明这份代码的版本演进没有被认真维护过。

「免登录购物」是这套系统最大的产品卖点，也是最大的审计面。

它解决了转化率问题——买家不用注册就能下单。但它同时取消了传统电商里天然存在的一道保障：账号体系本身就是一种订单归属凭证。

没有账号，订单靠什么和买家绑定？如果靠浏览器指纹、靠 IP 加 UA 的临时标识，那这套体系里就有两个必查项：

这两项不需要任何攻击手段就能自查：换一台设备、换一个网络，看你还能不能打开刚才那笔订单。能打开，就说明归属判定是弱的。

再往下是三个默认值，属于「五分钟能改、改晚了很贵」的那一类：

最后还有一个必须提的面：上传。

商城的商品图、详情图、批量导入的商品资料，都是上传入口。审计要看两点：后缀是否走白名单，以及上传目录是否禁止脚本解析（nginx 里对应一段 location 规则）。这条不管源码写得好不好，都该在服务器层面兜住。

把上面三个审计点，压缩成一份可以直接照着做的自查流程。全程不需要任何渗透工具：

五条走完，这套源码能不能上线，你心里就有数了。

如果决定继续用，下面十条按优先级排好了：

这十条里，前三条和第六条是「不做就会出事」的等级，剩下的属于迟早要做。

别人帮你清过一遍，不等于你就不用再查一遍

这套源码真正有意思的地方，不在功能，而在它旁边那几行小字。

一个分发方主动告诉你里面有后门、我清掉了——这份坦诚值得肯定。但它也顺手说明了一件事：在源码分发的链条上，「可用」和「可信」是两个完全不同的评价维度。

功能齐全只回答了能不能用。后门清理只回答了这一遍有没有看到明显的东西。而这套代码在我这台机器上、以我的钱和数据为代价运行时会不会出问题——这个问题，只有你自己按路径查一遍才能回答。

分发的链条越长，最后一棒的责任就越重。而最后一棒，永远是你。

既然看到这里了，如果觉得有用，随手点个赞、在看、转发三连吧。

THANKS FOR READING