简介天极网络验证系统3.0修复版专门面向软件、插件、APP及网站开发者提供一体化授权验证方案解决用户认证、授权管理与防破解等对接需求。压缩包共含1527个文件总大小11.25MB以PHP后端脚本、JavaScript前端逻辑、CSS样式、PNG/GIF图片等为主同时包含HTML页面、SQL数据库文件、易模块源码及教程文档支持模块化二次开发。系统自带部署指南和常见问题处理方法可帮助开发者快速上手也方便按业务场景定制授权流程。目录按功能模块组织文件类型涵盖前端资源、后端逻辑与数据存储结构清晰。目前已有251人学习下载对需要提升软件或服务授权管理效率、保障数据传输安全的开发者来说是一份注重稳定性与可扩展性的实用开源资源。1. 天极网络验证系统源码一套能跑通的 PHP 授权服务长什么样做易语言软件或者小插件的人应该都有过这种经历辛苦写出来的工具发出去没几天就被注册机干了。本地验证等于把钥匙放在门口破解者只要找到那行 cmp/if 语句改个跳转就能过。天极网络验证系统源码 v3.0 核心思路是把授权判断挪到服务器上——客户端把账号密码发给 PHP 服务端服务端查完数据库再回个状态码本地根本没有完整的验证逻辑可破。标题里的“修复版”意思是原版 3.0 遗留的毛病在这套里已经补过同时把易模块源码也一起放出来了。适合正在开发易语言程序、接授权系统外包单或者想自建一套卡密服务的 PHP 开发者。下面把它的文件结构、验证流程、部署参数和常见坑从头到尾过一遍。2. 源码结构拆解验证链路里的三个角色拿到源码包先别急着扔进服务器先把三个角色怎么配合搞清楚。天极 3.0 的架构拆开就是三点客户端发起请求PHP 服务端接收并校验MySQL 存授权记录中间再夹一层易模块封装好的通信函数。理解了这条链路后面部署、改参数、排查问题才有方向。2.1 服务端、客户端、数据库三者怎么分工网络验证系统的架构是固定的三点客户端易语言 exe、服务端PHP、数据库MySQL。客户端是用户直接跑的程序调用易模块里封装好的命令把账号密码、产品编号、时间戳这些参数发到服务端服务端是 PHP 脚本负责接收请求、校验签名、查数据库、回状态码数据库存的是开发者最看重的东西——卡密、账号、到期时间、用户状态。和单机验证最大的区别在于判断依据不在本地。破解者只改本地跳转是没用的他得在服务端下手或者伪造一个假验证服务器把请求拦下来这种操作的成本比改本地跳转高得多。也正因为这样接单时客户一听是网络验证第一反应都是“这个稳一点”。这类源码包的目录结构各地版本差异不大一般是下面这样以你实际拿到的文件为准目录/文件作用部署时需要关注的点/admin管理后台部署后第一时间改后台账号密码/api客户端对接接口登录、卡密验证、版本校验的 PHP 入口都在这/install.sql数据库初始化脚本导入 MySQL注意字符集/module/天极验证3.0.e易语言模块源码服务器地址、密钥、产品 ID 都在这里改/doc部署与对接文档建议先读一遍再动手这个结构里最容易忽略的是 /doc 目录。很多人拿到源码直接改 config连文档都不翻遇到问题再回头找实际上文档里把接口参数、返回码、模块命令都列清楚了属于最该先看的东西。2.2 从易模块发出的请求里带了什么服务端校验的第一个关口是请求参数。抓包看到的请求大致是下面这个结构dev_id1001 usernameadmin passwordxxx timestamp1710000000 sign2fc3f1cb1f8f0a21... product_id3 ver3.0每个参数的角色dev_id 是项目/产品编号一套源码服务多个产品时用它区分username 和 password 是账号密码或卡密具体叫什么取决于你这套系统是用户制还是卡密制timestamp 是客户端本地时间戳用来防重放攻击sign 是签名把除 sign 外的参数拼接后加上密钥做 MD5 的结果product_id 是产品 IDver 是客户端版本号服务端可以做强制升级逻辑。为什么要带 timestamp 和 sign我给客户做交付时经常要解释这个。破解者抓包拿到一次合法请求后直接重放就相当于无限续期这个叫重放攻击。带时间戳之后服务端发现请求时间和服务端时间差超过 5 分钟就拒绝带签名之后改任何一个参数都导致签名不匹配。2.3 PHP 端收到请求后的处理逻辑服务端处理流程是固定的四步收参数、验签名、验时间戳、查库返回。核心校验逻辑节选如下?php // 天极3.0 服务端核心校验逻辑节选 // 常见做法收参数 - 验签名 - 验时间戳 - 查库 - 回状态码 $sign $_POST[sign]; unset($_POST[sign]); $deviceId $_POST[dev_id]; $username $_POST[username]; $password $_POST[password]; $timestamp (int)$_POST[timestamp]; // 1. 时间戳防重放允许5分钟误差超过直接拒绝 if (abs(time() - $timestamp) 300) { exit(json_encode([code -3, msg 请求已过期])); } // 2. 签名校验把参数按键名排序拼接和密钥一起做MD5 $secret your-secret-key; // 与客户端易模块里保持一致 ksort($_POST); $str ; foreach ($_POST as $k $v) { $str . $k . . $v . ; } $str rtrim($str, ) . $secret; $localSign md5($str); if (!hash_equals($localSign, $sign)) { exit(json_encode([code -2, msg 签名错误])); } // 3. 查库验证账号/卡密 // 从 verify_keys 表查卡密是否存在、是否被使用、是否到期 // 字段名按 install.sql 里的实际表结构来定 // $row mysqli_fetch_assoc(mysqli_query($conn, SELECT ... FROM verify_keys WHERE code$password)); // if (!$row) exit(json_encode([code -1, msg 卡密不存在])); exit(json_encode([code 1, msg ok, expire_time date(Y-m-d H:i:s, $expire)]));这里有几个参数值得细说。时间戳误差允许 300 秒也就是 5 分钟这个值不能设太小否则用户机器时钟偏差大一点就会被拒但也不能设太大否则重放攻击窗口变宽我一般习惯 300 到 600 秒之间。签名拼接时按参数名排序再做 MD5这是为了防止客户端和服务端参数顺序不一致导致签名对不上。hash_equals 是比较签名时推荐用的函数比直接用更抗时序攻击。2.4 易模块把什么封装掉了易模块把 HTTP 请求、参数拼装、MD5 签名、时间戳生成这些脏活全封装掉了开发者只需要调用两三个命令就能完成验证对接。从模块源码里能看到典型的调用流程 易语言侧引用 天极验证3.0.e 模块后 初始化填服务器地址、产品 ID、密钥 网络验证_初始化 (http://你的域名/, 3, your-secret-key) 登录验证返回的文本是 ok 表示通过否则是错误码 登录结果 网络验证_登录 (admin, 123456) 如果真 (登录结果 ok) 信息框 (授权成功, 0, , ) 否则 信息框 (登录失败 登录结果, 0, , ) 如果真结束易语言侧有几个内置约定模块内部会自动生成 timestamp自动拼接参数并计算 MD5开发者填对服务器地址和密钥就行返回结果统一处理成文本方便用如果真判断。返回码的具体含义要和 PHP 端对应起来常见的几个ok表示验证通过-1卡密不存在-2签名错误-3请求过期-4账号被禁用或卡密已被用完。少数版本还会额外封装公告获取、版本检测、到期时间查询这几个命令结构上都一样改改参数就能复用。3. 部署与对接实战本地先跑通再上服务器这章直接按操作顺序来。我的习惯是先在本地把环境跑通确认最小验证链路没问题再上传服务器。原因很简单本地改代码、看日志都方便排错成本低一大截。3.1 本地环境phpstudy跑通整套源码本地环境推荐用 phpstudy 这类集成环境Apache PHP MySQL 一个包全带。注意 PHP 版本选 5.6 到 7.0 之间MySQL 用 5.7这个组合和 3.0 时代的源码兼容性最好。PHP 7.4 以上跑老源码容易出现函数废弃警告8.x 更是直接报错——见过不止一个新手在 PHP 版本上卡半天。操作步骤下载安装 phpstudy启动 Apache 和 MySQL。把源码包解压到 WWW 目录下保持目录结构不动。打开 phpMyAdmin新建一个数据库比如tianji_verify导入 install.sql。修改服务端 config.php 里的数据库连接和验证参数// config.php 节选——数据库与验证参数 $db_host 127.0.0.1; $db_user root; $db_pass root; $db_name tianji_verify; $secret_key your-secret-key; // 必须与易模块初始化参数一致 $product_id 3; // 产品编号易模块初始化时也要填同一个浏览器访问http://localhost/能看到后台登录页就说明环境 OK。注意phpstudy 默认 PHP 版本如果不对在软件设置里切换 PHP 版本后再重启 Apache。PHP 版本切换后要确认 curl 扩展已开启很多验证类源码都依赖 curl 发请求没开这个扩展会一直提示“服务器连接失败”。本地跑通的定义是用浏览器访问后台能登录、能看到卡密管理页面。这步过了说明数据库和 PHP 环境没问题。3.2 上传服务器宝塔的配置差异本地跑通后上服务器用宝塔面板是最常见的做法。流程和本地类似但有几个差异点容易踩创建站点PHP 版本同样选 5.6 或 7.0。宝塔默认装的是 PHP 8.x需要在软件商店里额外安装旧版本然后在站点设置里切换。上传源码到站点根目录导入数据库。检查 PHP 禁用函数列表。宝塔默认会禁用file_get_contents等函数如果这个系统的通信函数用的是它验证会失败。在宝塔 PHP 设置里找到“禁用函数”把用到的函数名删掉。确认 curl 扩展已启用。宝塔 PHP 扩展列表里直接装就行。还有一个和本地完全不同的事跨域和防盗链。Nginx 站点默认会限制跨域请求来源而验证接口会被各种客户端直接调用如果加了严格的防盗链规则API 请求会返回 403。我一般会在站点配置里对/api/路径放行location /api/ { add_header Access-Control-Allow-Origin *; add_header Access-Control-Allow-Methods GET, POST, OPTIONS; add_header Access-Control-Allow-Headers Content-Type; }这个配置在 Nginx 里加好之后记得重载配置。另一类情况是站点设置了强制伪静态规则导致 API 入口被 rewrite 到别处返回 404验证系统通常不需要伪静态把伪静态规则清掉即可。3.3 易语言端对接的调用写法服务端部署完成接下来是易语言侧。先把 module 目录下的天极验证 3.0.e 文件复制到易语言安装目录的 lib 文件夹或者在易语言源码管理里手动“添加模块引用”。核心代码就三步创建窗口时初始化、登录按钮里调用验证命令、根据返回码决定跳转哪个窗口。 窗口启动事件 子程序 __启动窗口_创建完毕 网络验证_初始化 (http://你的域名/, 3, your-secret-key) 子程序 _登录按钮_被单击 用户名 编辑框1.内容 密码 编辑框2.内容 返回文本 网络验证_登录 (用户名, 密码) 判断开始 (返回文本) “ok”: 载入 (主窗口, , 真) “-1”: 信息框 (“卡密不存在”, 0, , ) “-2”: 信息框 (“签名错误,请检查初始化参数”, 0, , ) “-3”: 信息框 (“请求过期,请检查本地时间”, 0, , ) “-4”: 信息框 (“账号已被禁用”, 0, , ) 判断结束易语言不分大小写命令名和参数顺序以模块里的说明为准。初始化时填的服务器地址结尾要不要带斜杠、产品 ID 是数字还是字符串这些细节都会影响请求是否成功所以在对接前先把模块源码里的参数说明看一眼。3.4 需要手动改的核心配置项源码里需要改的配置其实没几个列成表方便对照配置项位置说明典型值数据库连接服务端 config.php账号、密码、库名本地/服务器各不相同$secret_key服务端 config.php 易模块初始化参数签名密钥两端必须一致任意字符串越长越乱越好$product_id服务端 config.php 易模块初始化参数产品编号和易模块传入的值一致验证接口地址易模块初始化参数客户端请求的 URLhttp://你的域名/api/后台管理员账号安装后进后台修改别用默认账号密码自定义这里最要命的坑就是$secret_key。PHP 端和易语言端必须填一模一样差一个字符都验不过。很多人在部署时改了 PHP 端的密钥忘了同步改易模块里的初始化参数结果一直报签名错误还以为是代码有问题。4. 部署与对接中的常见问题五个高发坑这部分内容全是实际部署中反复遇到的每一条都可以对号入座。4.1 卡密正确但一直提示“服务器连接失败”现象卡密确认无误服务器地址填的http://127.0.0.1但客户端始终提示连接失败。原因PHP 没开 curl 扩展这是最常见的集成环境和宝塔默认不一定开启其次是本机防火墙拦了 80 端口。解决phpstudy 里在 PHP 扩展列表勾选php_curl重启 Apache宝塔面板在 PHP 设置里安装 curl 扩展。改完再试一次连接失败率九成能解决。4.2 返回“签名错误”现象初始化参数反复核对过密钥没抄错但还是报签名错误。原因密钥两端不一致或者拼接参数时某一端多了一个字段。PHP 端拼接 sign 时用ksort排序易模块端也有自己的排序规则如果服务端代码里漏掉了某个字段两边算出来的 MD5 永远对不上。解决把 PHP 端临时加一行日志打印收到的参数和本地算出的签名对比易语言模块实际发包的内容看哪个字段被过滤了或者多拼了空值。4.3 数据库导入失败现象在 phpMyAdmin 导入 install.sql 报语法错误。原因服务器 MySQL 版本过高8.0 以上对旧 SQL 语法兼容性变差SQL 文件里的字符集声明和导入环境不一致也会报错。解决用 MySQL 5.7 跑最稳如果必须用 8.0把 SQL 文件用编辑器打开将字符集相关的声明统一改成utf8mb4必要时先手动 CREATE DATABASE 再用USE指定库名后导入。4.4 验证通过后重启程序又要重新登录现象验证成功程序退出再打开又要求输账号密码。原因验证系统的登录状态没有持久化默认每次启动都走一遍在线验证。解决把服务端返回的到期时间和用户标识加密写到本地配置项启动时先读本地缓存再尝试联网复核。网络可用时复核结果为准不可用时用缓存兜底这样用户体验好很多。实现时注意本地保存的数据别明文写至少做个简单加密。4.5 程序编译后被杀软误报现象易语言写的 exe 一编译出来就报毒加了验证模块之后更严重。原因网络验证的通信特征和读取配置项的行为跟一些样本相似杀软识别出“连接远程服务器 读写配置”的组合动作就报。解决易语言编译时选“独立编译”或“静态编译”不要选加壳选项测试时把生成的 exe 加进杀软白名单交付给客户时写清楚这是易语言网络验证程序让对方信任并加白。5. 二次开发方向从“能跑”到“能交付”源码跑通只是起点真正接单交付时总会遇到客户提额外需求。这章写三个高频二次开发方向每个都来自实际项目里被问过多次的需求。5.1 批量生成卡密管理后台通常提供单条添加卡密但客户要一两千张卡一条条加不现实。写个一次性 PHP 脚本批量生成卡密并直接产出 SQL?php // 批量生成卡密脚本生成1000张有效期30天 $chars ABCDEFGHIJKLMNOPQRSTUVWXYZ0123456789; $res []; for ($i 0; $i 1000; $i) { $code ; for ($j 0; $j 16; $j) { $code . $chars[random_int(0, strlen($chars) - 1)]; } // 字段名以 install.sql 里的卡密表结构为准 $expire date(Y-m-d H:i:s, time() 30 * 86400); $res[] INSERT INTO verify_keys (code, expire_time, status) . VALUES ($code, $expire, 0);; } file_put_contents(cards.sql, implode(\n, $res)); echo 已生成1000张卡密SQLcards.sql;random_int比mt_rand更适合生成卡密它不会出现可预测的周期性序列。生成的 SQL 直接在 phpMyAdmin 或命令行里导入即可。字段名务必对一下实际表结构不同版本的卡密表字段命名有差异照抄会报错。5.2 登录态的本地缓存与离线兜底接单时最常被问的一句话是“用户没网的时候能不能用”网络验证和离线需求天然冲突但要兼顾也不是没办法。常见做法是做一个授权缓存首次在线验证成功后把服务端返回的到期时间加密写到本地配置项之后启动先读缓存。关键点在于启动时先读本地到期时间当前时间在范围内就先放行同时后台异步联网复核复核发现过期才把用户踢出去。这样短暂断网不影响使用卡密真正过期了也不会一直白嫖。写这个功能时注意本地缓存的时间字段不要明文存换个简单的异或或 Base64 也好过裸奔。5.3 把签名算法升级成 HMAC-SHA256原版用 MD5 没问题但如果对接的项目对安全性有硬性要求可以两端同步换 HMAC-SHA256。PHP 端改一行$localSign hash_hmac(sha256, $str, $secret);易语言模块侧需要找开源的 HMAC-SHA256 模块把易模块里的签名算法同步替换保证两边算出的值一致。这一步对易语言开发者来说不算难但容易在十六进制转换上翻车——两边输出必须都是小写十六进制字符串不能一个返回大写一个返回小写否则验签永远失败。接这类验证系统的项目我自己养成了一个习惯拿到源码先不动业务直接按“初始化 登录 返回”的最小链路跑一遍确认通了再去做卡密逻辑、接界面。年轻时接过一套验证系统上来就改功能改完发现连服务器都连不上查了整整一周才定位到是 curl 扩展没开——从那以后我每次部署都强制走一遍最小验证流程把环境问题和业务问题隔离清楚再往下写。希望帮到你。本文还有配套的精品资源点击获取