H5掼蛋游戏钻石房卡模式，附小程序源码

这玩意狗友投稿的，已经赠送黄钻奖励，界面有点粗糙可以进行优化，以看就是AI写出来的

前端客户端页面清单

序号	界面名称	文件路径	功能简述
01	游戏大厅	`client/src/views/GameHall.vue`	用户信息栏；钻石 / 金币 / 房卡资源展示；掼蛋、斗地主、跑得快、好友房、比赛、组队 6 个游戏入口；快捷操作；底部 Tab 导航
02	房间列表	`client/src/views/RoomListPage.vue`	按游戏类型筛选房间；房间卡片展示房间号、类型、人数、消耗；加入房间
03	创建房间	`client/src/views/CreateRoomPage.vue`	3 种游戏类型选择；局数、人数、红心配牌、历史查看等规则开关配置；房卡消耗提示；创建确认
04	邀请玩家	集成在 GameTablePage	四人座位布局（上 / 左 / 右 / 下）；玩家头像与状态；等待开局界面
05	掼蛋对局	`client/src/views/GameTablePage.vue`	核心对局界面，绿色牌桌背景；四人座位；手牌扇形展示（27 张）；选牌出牌、不出、提示；操作按钮；侧边栏（聊天 / 表情 / 设置 / 解散）；计时器；离开确认弹窗
06	商城	`client/src/views/ShopPage.vue`	资源余额展示；4 档钻石充值（含赠送）；4 档房卡购买（含赠送）；微信 / 支付宝 / 银行卡支付选择；购买按钮
07	个人中心	`client/src/views/PersonalCenterPage.vue`	头像、VIP 徽章；总局数 / 胜场 / 胜率统计；钻石 / 金币 / 房卡 / 可提现钱包；6 宫格菜单：赠送、推广、提现、充值、设置、退出；最近对局记录
08	卡票赠送	`client/src/views/GiftPage.vue`	可选房卡 / 钻石 / 金币；填写接收人 ID 或手机号；增减赠送数量；留言；余额校验；确认赠送
09	邀请推广	`client/src/views/AgentPromotePage.vue`	代理系统。非代理：展示 L1-L5 五级佣金（30%/15%/8%/4%/2%），代理申请按钮；代理：代理等级、推广码、可提现 / 累计佣金 / 下级代理 / 直属玩家统计、推广二维码、佣金明细、团队树形数据
10	设置	`client/src/views/SettingsPage.vue`	账号信息；账号安全（改密码、绑定手机、绑定微信）；音效 / 音乐 / 震动 / 深色模式 4 项偏好开关；版本号、用户协议、隐私政策、退出登录

后台管理系统模块清单

数据概览：总用户数、今日新增、订单总数、今日营收、代理商数，5 项数据卡片
用户管理：用户搜索、查看详情、账号冻结 / 解封
代理审核：待审核代理列表，审核通过 / 驳回操作
提现审核：待处理提现列表；风控标记（通过 / 可疑 / 风险）；打款通过、驳回提现
订单管理：充值订单查询、对账
系统配置：在线修改佣金比例、费率等系统参数

微乐掼蛋 H5 · 小程序源码

房卡掼蛋游戏平台（Vue3 H5 + Node.js + Socket.IO + MySQL + Redis）从零到上线的完整步骤，左侧目录随时切换。

Vue 3.4 + Vite 5Express 4Socket.IO（/ws）MySQL 5.7 / 8.0Redis（可选，自动降级）PM2 守护

01项目概览

先弄清楚要部署的东西有几个、各自在哪，后面步骤才不会乱。

组成部分	目录	说明
后端服务	`server/`	Express API + Socket.IO 实时对战，端口 3000（仅本机，由 Nginx 反代）
H5 前端	`client/`	Vue3 构建产物 `dist/`，Hash 路由，由 Nginx 直接托管
微信小程序	`miniprogram/`	可选，需 HTTPS 域名 + 微信后台配置合法域名后才能上线

关键端口与路径

HTTP 对外：80 / 443（Nginx）
Node 后端：127.0.0.1:3000，不对外开放
WebSocket 路径：/ws（Socket.IO 自定义 path，Nginx 必须做 upgrade 反代）
健康检查：/health
后台管理入口：/#/admin（Hash 路由，必须带 #）

ℹ️

前端请求 /api/* 与 /ws，Nginx 把它们反代到 Node 3000 端口，其余请求直接返回静态 index.html。这是整套反代配置的核心逻辑。

02安全审计结论（审计时间：2026-10-20）

已对 server/client/miniprogram 全部源码做后门与漏洞排查，结论如下。

✅

无后门、无恶意代码。全量排查未发现 eval、child_process、代码混淆、可疑外联域名；所有外部请求仅指向微信 / 支付宝 / 银联官方网关。可作为正常项目部署。

但存在以下安全漏洞，上线前必须处理

等级	问题	位置	风险
严重	通用支付回调无任何验签	`payment.js` → `POST /api/payment/callback/:channel`	任何人 POST `{ "order_no": "GD..." }` 即可将订单标记为已支付、白拿钻石/房卡。订单号格式可预测（GD+时间戳）。必须删除或加验签
严重	sandbox 模拟支付无环境限制	`payment.js` → `POST /api/payment/sandbox-pay`	登录用户可对自己创建的任意订单免费”支付成功”。演示用接口，生产必须禁用
高	schema.sql 有两处错误	`server/database/schema.sql`	`users` 表 ` diamonds` 列名带前导空格；`orders.paid_at` 字段重复定义。直接导入会报错或产生异常字段，导入前必须修复（见第 06 节）
高	敏感凭据随包分发	`server/.env`	包内自带 DB root 密码、JWT_SECRET。凡是被别人拿到的包，上线时全部凭据必须重新生成
高	JWT_SECRET 有弱默认值	`auth.js` / `payment.js` / `admin.js`	兜底密钥 `guan-dan-game-secret-2024` 是公开可知的，.env 未生效时可被伪造管理员 Token
高	CORS 全开	`.env` → `CORS_ORIGIN=*`	任意网站可跨域调用 API，上线改为自己的域名
中	微信登录沙箱降级	`auth.js` → `/wx-login`	未配置 WX_APPID/WX_SECRET 时，任意 code 都能造号登录。上线需配置真实小程序密钥
中	游客登录可刷资源	`auth.js` → `/guest`	每调用一次送 100 钻 + 5 房卡，虽有每分钟 10 次限流，仍可脚本刷。生产建议关闭或取消赠送
中	管理员接口返回密码哈希	`admin.js` → `SELECT * FROM users`	用户列表接口返回 `password` 哈希字段，建议改为显式字段列表
低	支付宝下单未实现	`payment.js` → `aliUnifiedOrder`	占位函数，配置了也不会真正下单（有清晰报错提示），不算漏洞