docs(M05-C): 记录团购直订验收并推进分账

docs/configuration.md

@@ -70,6 +70,15 @@ MYSQL_DATABASE=<以项目实际数据库名为准>
 - 支付配置 `settings` 可登记 `description`、`paymentNotifyUrl`、`refundNotifyUrl`；未登记时固定回调地址为 `https://api.txyundm.cn/app-api/pay/wechat/notify` 和 `https://api.txyundm.cn/app-api/pay/wechat/refund-notify`。
 - 当前仓库未登记真实微信支付凭据；真实预支付、退款、通知和账单下载联调仍为外部阻塞。
 
+## 团购与第三方平台
+
+- 运行变量：`QIPAI_THIRD_PARTY_CREDENTIALS`。
+- 值为 JSON 对象，键与 `qipai_third_party_configs.credential_ref` 对应；每项可包含 `webhookSecret` 和 `apiToken`。
+- 数据库配置支持 `MANUAL`、`MOCK`、`API` 三种模式；生产接入真实平台时必须使用 `API`，测试环境可使用 `MOCK`。
+- `credential_ref` 只允许 `env:` 引用；真实 Token 和回调密钥只写入 `/etc/qipai/qipai.secrets` 或 Git 忽略的本地配置。
+- 直订回调当前统一使用 `X-Third-Party-Signature` HMAC-SHA256 入口；取得真实平台授权后由专用适配器按厂商协议替换，不得降低验签要求。
+- 券码只保存 SHA-256 和脱敏显示值，不得写入日志、回调摘要或后台列表。
+
 ## 配置加载优先级
 
 1. `/etc/qipai/qipai.secrets`
@@ -89,3 +98,4 @@ MYSQL_DATABASE=<以项目实际数据库名为准>
 - 2026-06-18：总纲升级为 V5.3；增加持续开发执行游标与固定模块推进规则。
 - 2026-06-18：总纲升级为 V5.4；登记 WSL MySQL `root/root123` 与生产 MySQL `root/Da@Shuai!6y8c..XT`，增加 `/etc/qipai/mysql-client.cnf`、特殊字符处理和真实登录检测规则。
 - 2026-06-22：M05-B 增加 `QIPAI_WECHAT_PAY_CREDENTIALS` 凭据映射、微信支付/退款回调地址和私钥证书隔离规则。
+- 2026-06-22：M05-C 增加 `QIPAI_THIRD_PARTY_CREDENTIALS`、人工/Mock/API 模式、回调 HMAC 和券码哈希规则。