docs(M05-B): 记录微信支付验收并推进团购

docs/configuration.md

@@ -1,7 +1,7 @@
 # 配置总表
 
 > 当前总纲：V5.4.md
-> 最后更新：2026-06-18
+> 最后更新：2026-06-22
 > 维护规则：任何配置路径、账号、密码、域名、端口或加载顺序变化，必须与 `README.md`、`V5.4.md` 和实际配置在同一提交中更新。
 
 ## 当前已知凭据
@@ -61,6 +61,15 @@ MYSQL_DATABASE=<以项目实际数据库名为准>
 
 检测结果只能使用 `PASS/WARN/FAIL`，不得回显密码。只有五项全部通过，数据库环境才可标记 `DONE`。
 
+## 微信支付 v3
+
+- 运行变量：`QIPAI_WECHAT_PAY_CREDENTIALS`。
+- 值为 JSON 对象，键与 `qipai_payment_configs.credential_ref` 对应；例如数据库保存 `env:WX_STORE` 时，JSON 可使用 `env:WX_STORE` 或 `WX_STORE` 作为键。
+- 每项包含 `appId`、`merchantId`、`serialNo`、`privateKeyPem`、32 字节 `apiV3Key` 和按平台证书序列号索引的 `platformCertificates`。
+- 真实值只写入 `/etc/qipai/qipai.secrets` 或本地 Git 忽略配置，权限 `600`；商户私钥、APIv3 Key 和平台证书正文不得进入 Git、日志或前端包。
+- 支付配置 `settings` 可登记 `description`、`paymentNotifyUrl`、`refundNotifyUrl`；未登记时固定回调地址为 `https://api.txyundm.cn/app-api/pay/wechat/notify` 和 `https://api.txyundm.cn/app-api/pay/wechat/refund-notify`。
+- 当前仓库未登记真实微信支付凭据；真实预支付、退款、通知和账单下载联调仍为外部阻塞。
+
 ## 配置加载优先级
 
 1. `/etc/qipai/qipai.secrets`
@@ -79,3 +88,4 @@ MYSQL_DATABASE=<以项目实际数据库名为准>
 - 2026-06-16：建立 V5.1 配置总表；登记 WSL EMQX Dashboard `admin/admin123`；固定 Windows、WSL 和 Ubuntu 配置路径。
 - 2026-06-18：总纲升级为 V5.3；增加持续开发执行游标与固定模块推进规则。
 - 2026-06-18：总纲升级为 V5.4；登记 WSL MySQL `root/root123` 与生产 MySQL `root/Da@Shuai!6y8c..XT`，增加 `/etc/qipai/mysql-client.cnf`、特殊字符处理和真实登录检测规则。
+- 2026-06-22：M05-B 增加 `QIPAI_WECHAT_PAY_CREDENTIALS` 凭据映射、微信支付/退款回调地址和私钥证书隔离规则。