feat(billing): 微信支付配置进 DB —— admin 控制面保存即热生效

用户定的形态:配置存数据库、密钥文件放服务器磁盘(库里只存路径)。
env 降级为兜底(DB 优先 → env → 隐藏,与 tokens_per_credit 同一约定)。

- payment 包重构:Config(6 字段)+ Manager(RWMutex 热重载,学 prompt 控制面
  改完即生效不重启);未启用原因人话化(未配置/缺哪些字段/初始化失败具体错)。
- APIv3 密钥入库前 AES-GCM 加密(shared/secrets,与模型 API Key 同一把
  SUNDYNIX_SECRET_KEY);GET 只回 has_apiv3_key 不回显;PUT 留空=沿用旧密钥
  (只写不回显语义,同模型 Key)。
- admin GET/PUT /admin/payment/wechat;业务路径全部改经 Manager.Current()
  取快照(BillingPacks/下单/查单/回调)。
- admin 计费页「微信支付配置」卡片:状态徽章(已启用/未启用+原因)+六字段
  +保存并热生效。
live:无配置→「未配置」;存假配置→热重载报「私钥加载失败:decode err」;
去掉 appid→「配置不全,缺: appid」;密钥留空沿用(has_apiv3_key 保持 true);
psql 复核库内密文 enc:1: 前缀、不含明文子串。go/tsc/41 vitest 全绿。

Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>

sundynix-gateway/internal/handler/billing_pay.go

@@ -21,7 +21,7 @@ func (h *Handler) BillingPacks(c *gin.Context) {
 		return
 	}
 	channels := []string{store.ChannelRedeem}
-	if h.wechat != nil {
+	if h.pay.Current() != nil {
 		channels = append(channels, store.ChannelWechat)
 	}
 	c.JSON(http.StatusOK, gin.H{"packs": packs, "channels": channels})
@@ -35,7 +35,8 @@ const orderTTL = 30 * time.Minute
 // BillingCreateOrder: POST /api/v1/billing/orders {pack_id} —— 微信 Native 下单，返回 code_url。
 // 金额/积分由服务端按在售包锁定进订单行，前端只传包 id，不信任任何客户端金额。
 func (h *Handler) BillingCreateOrder(c *gin.Context) {
-	if h.wechat == nil {
+	wc := h.pay.Current()
+	if wc == nil {
 		c.JSON(http.StatusBadRequest, gin.H{"error": "微信支付未配置，请用兑换码充值"})
 		return
 	}
@@ -67,7 +68,7 @@ func (h *Handler) BillingCreateOrder(c *gin.Context) {
 		c.JSON(http.StatusBadGateway, gin.H{"error": err.Error()})
 		return
 	}
-	codeURL, err := h.wechat.CreatePay(ctx, o.ID, "sundynix 积分充值 · "+pk.Name, pk.PriceFen)
+	codeURL, err := wc.CreatePay(ctx, o.ID, "sundynix 积分充值 · "+pk.Name, pk.PriceFen)
 	if err != nil {
 		// 渠道下单失败的单直接作废，不留一堆永远付不了的 pending。
 		_ = h.db.ExpireOrder(ctx, o.ID)
@@ -92,8 +93,8 @@ func (h *Handler) BillingOrderStatus(c *gin.Context) {
 		c.JSON(http.StatusNotFound, gin.H{"error": "订单不存在"})
 		return
 	}
-	if o.Status == store.OrderPending && h.wechat != nil {
-		if r, err := h.wechat.QueryOrder(ctx, o.ID); err == nil {
+	if wc := h.pay.Current(); o.Status == store.OrderPending && wc != nil {
+		if r, err := wc.QueryOrder(ctx, o.ID); err == nil {
 			switch {
 			case r.Paid && r.AmountFen == o.AmountFen:
 				if _, err := h.db.MarkOrderPaid(ctx, o.ID, r.ChannelTxn); err == nil {
@@ -118,11 +119,12 @@ func (h *Handler) BillingOrderStatus(c *gin.Context) {
 // WechatCallback: POST /api/v1/billing/callback/wechat —— 微信支付回调（公开路由，验签是唯一的门）。
 // 应答契约：入账成功/重复推送都回 200 {code:SUCCESS}；验签失败 4xx；处理失败 5xx 让微信重试。
 func (h *Handler) WechatCallback(c *gin.Context) {
-	if h.wechat == nil {
+	wc := h.pay.Current()
+	if wc == nil {
 		c.JSON(http.StatusServiceUnavailable, gin.H{"code": "FAIL", "message": "渠道未配置"})
 		return
 	}
-	r, err := h.wechat.VerifyCallback(c.Request)
+	r, err := wc.VerifyCallback(c.Request)
 	if err != nil {
 		c.JSON(http.StatusUnauthorized, gin.H{"code": "FAIL", "message": "验签失败"})
 		return

sundynix-gateway/internal/handler/payment_admin.go

@@ -0,0 +1,108 @@
+package handler
+
+import (
+	"context"
+	"encoding/json"
+	"net/http"
+	"strings"
+
+	"github.com/gin-gonic/gin"
+	"github.com/sundynix/sundynix-gateway/internal/payment"
+	"github.com/sundynix/sundynix-shared/secrets"
+)
+
+// 微信支付配置控制面：配置进 DB（sundynix_setting）、改完热生效不重启；
+// APIv3 密钥入库前 AES-GCM 加密（与模型 API Key 同一把 SUNDYNIX_SECRET_KEY），
+// 私钥文件留在服务器磁盘，库里只存路径。env 仍作兜底（DB 优先 → env → 隐藏）。
+
+// SettingWechatPay 是 settings KV 里的键，值为 payment.Config 的 JSON（apiv3_key 为密文）。
+const SettingWechatPay = "payment_wechat"
+
+// loadWechatConfig 读支付配置：DB 优先（解密 apiv3），空则回退 env。
+func (h *Handler) loadWechatConfig(ctx context.Context) payment.Config {
+	raw := h.db.GetSetting(ctx, SettingWechatPay)
+	if raw == "" {
+		return payment.ConfigFromEnv()
+	}
+	var c payment.Config
+	if err := json.Unmarshal([]byte(raw), &c); err != nil {
+		return payment.ConfigFromEnv()
+	}
+	if c.APIv3Key != "" {
+		if plain, err := secrets.Decrypt(c.APIv3Key); err == nil {
+			c.APIv3Key = plain
+		}
+	}
+	return c
+}
+
+// InitWechat 启动时装配微信渠道（DB 优先 → env）。失败只降级隐藏，不阻断启动。
+func (h *Handler) InitWechat(ctx context.Context) {
+	_ = h.pay.Reload(ctx, h.loadWechatConfig(ctx))
+}
+
+// AdminGetWechatPay: GET /api/v1/admin/payment/wechat —— 当前配置（密钥不回显）+ 渠道状态。
+func (h *Handler) AdminGetWechatPay(c *gin.Context) {
+	cfg := h.loadWechatConfig(c.Request.Context())
+	enabled, reason := h.pay.Status()
+	c.JSON(http.StatusOK, gin.H{
+		"config": gin.H{
+			"mchid":            cfg.MchID,
+			"cert_serial":      cfg.CertSerial,
+			"private_key_path": cfg.PrivateKeyPath,
+			"appid":            cfg.AppID,
+			"notify_url":       cfg.NotifyURL,
+			"has_apiv3_key":    cfg.APIv3Key != "", // 密钥只报有无，明文永不回显
+		},
+		"enabled": enabled,
+		"reason":  reason,
+	})
+}
+
+// AdminSaveWechatPay: PUT /api/v1/admin/payment/wechat —— 保存配置并热重载渠道。
+// apiv3_key 留空 = 沿用已存的（只写不回显的编辑语义，同模型 Key）。
+func (h *Handler) AdminSaveWechatPay(c *gin.Context) {
+	var b struct {
+		MchID          string `json:"mchid"`
+		CertSerial     string `json:"cert_serial"`
+		PrivateKeyPath string `json:"private_key_path"`
+		APIv3Key       string `json:"apiv3_key"`
+		AppID          string `json:"appid"`
+		NotifyURL      string `json:"notify_url"`
+	}
+	if err := c.ShouldBindJSON(&b); err != nil {
+		c.JSON(http.StatusBadRequest, gin.H{"error": "参数错误"})
+		return
+	}
+	ctx := c.Request.Context()
+	apiv3 := strings.TrimSpace(b.APIv3Key)
+	if apiv3 == "" {
+		apiv3 = h.loadWechatConfig(ctx).APIv3Key // 留空沿用旧密钥（此处为明文，稍后统一加密入库）
+	}
+	cfg := payment.Config{
+		MchID:          strings.TrimSpace(b.MchID),
+		CertSerial:     strings.TrimSpace(b.CertSerial),
+		PrivateKeyPath: strings.TrimSpace(b.PrivateKeyPath),
+		APIv3Key:       apiv3,
+		AppID:          strings.TrimSpace(b.AppID),
+		NotifyURL:      strings.TrimSpace(b.NotifyURL),
+	}
+	stored := cfg
+	if stored.APIv3Key != "" {
+		enc, err := secrets.Encrypt(stored.APIv3Key)
+		if err != nil {
+			c.JSON(http.StatusInternalServerError, gin.H{"error": "密钥加密失败: " + err.Error()})
+			return
+		}
+		stored.APIv3Key = enc
+	}
+	raw, _ := json.Marshal(stored)
+	if err := h.db.SetSetting(ctx, SettingWechatPay, string(raw)); err != nil {
+		c.JSON(http.StatusBadGateway, gin.H{"error": err.Error()})
+		return
+	}
+	// 热重载：配置有毛病只会让渠道隐藏并给出原因，不影响其它功能。
+	_ = h.pay.Reload(ctx, cfg)
+	enabled, reason := h.pay.Status()
+	c.JSON(http.StatusOK, gin.H{"status": "ok", "enabled": enabled, "reason": reason})
+}

sundynix-gateway/internal/handler/task_handler.go

@@ -24,21 +24,15 @@ import (
 )
 
 type Handler struct {
-	db     *store.Postgres
-	cache  *store.Redis
-	bus    *nats.Bus
-	blob   *blob.Store
-	wechat *payment.Wechat // 微信支付渠道；nil=未配置（渠道隐藏）
+	db    *store.Postgres
+	cache *store.Redis
+	bus   *nats.Bus
+	blob  *blob.Store
+	pay   *payment.Manager // 微信支付渠道管理器（DB 配置热重载；Current()==nil 即渠道隐藏）
 }
 
 func New(db *store.Postgres, cache *store.Redis, bus *nats.Bus, blob *blob.Store) *Handler {
-	return &Handler{db: db, cache: cache, bus: bus, blob: blob}
-}
-
-// WithWechat 注入微信支付渠道（nil 安全：保持隐藏）。
-func (h *Handler) WithWechat(w *payment.Wechat) *Handler {
-	h.wechat = w
-	return h
+	return &Handler{db: db, cache: cache, bus: bus, blob: blob, pay: payment.NewManager()}
 }
 
 // preflight 是「会烧钱的执行」提交前的统一关卡：当日 token 预算 → 计费租户 → 积分硬拦截。

sundynix-gateway/internal/payment/manager.go

@@ -0,0 +1,112 @@
+package payment
+
+import (
+	"context"
+	"errors"
+	"log"
+	"os"
+	"strings"
+	"sync"
+)
+
+// Config 微信支付渠道配置。来源两级：DB 设置（admin 控制面，热生效）优先，env 兜底
+// ——与 TokensPerCredit 的「DB 优先 → env → 默认」同一约定。
+// APIv3Key 在库里是 AES-GCM 密文（与模型 API Key 同一把 SUNDYNIX_SECRET_KEY），
+// 这里拿到的是解密后的明文；PrivateKeyPath 只是服务器磁盘路径，私钥文件本身不进库。
+type Config struct {
+	MchID          string `json:"mchid"`
+	CertSerial     string `json:"cert_serial"`
+	PrivateKeyPath string `json:"private_key_path"`
+	APIv3Key       string `json:"apiv3_key"`
+	AppID          string `json:"appid"`
+	NotifyURL      string `json:"notify_url"`
+}
+
+// Empty 完全未配置（一个字段都没填）。
+func (c Config) Empty() bool {
+	return c.MchID == "" && c.CertSerial == "" && c.PrivateKeyPath == "" &&
+		c.APIv3Key == "" && c.AppID == "" && c.NotifyURL == ""
+}
+
+// missing 返回缺失字段名（配置不全时给 admin 一句能看懂的原因）。
+func (c Config) missing() []string {
+	var out []string
+	for _, f := range []struct{ k, v string }{
+		{"mchid", c.MchID}, {"cert_serial", c.CertSerial}, {"private_key_path", c.PrivateKeyPath},
+		{"apiv3_key", c.APIv3Key}, {"appid", c.AppID}, {"notify_url", c.NotifyURL},
+	} {
+		if strings.TrimSpace(f.v) == "" {
+			out = append(out, f.k)
+		}
+	}
+	return out
+}
+
+// ConfigFromEnv 从环境变量读配置（DB 未配置时的兜底，兼容 P5.2 的纯 env 用法）。
+func ConfigFromEnv() Config {
+	return Config{
+		MchID:          os.Getenv("WECHAT_MCHID"),
+		CertSerial:     os.Getenv("WECHAT_MCH_CERT_SERIAL"),
+		PrivateKeyPath: os.Getenv("WECHAT_MCH_PRIVATE_KEY"),
+		APIv3Key:       os.Getenv("WECHAT_APIV3_KEY"),
+		AppID:          os.Getenv("WECHAT_APPID"),
+		NotifyURL:      os.Getenv("WECHAT_NOTIFY_URL"),
+	}
+}
+
+// Manager 持有当前微信渠道实例，支持 admin 改配置后热重载（学 prompt 控制面：改完即生效，
+// 不重启 gateway）。所有业务路径经 Current() 取用——nil 即渠道隐藏。
+type Manager struct {
+	mu     sync.RWMutex
+	w      *Wechat
+	reason string // 未启用原因（给 admin 状态面看）
+}
+
+func NewManager() *Manager {
+	return &Manager{reason: "未配置"}
+}
+
+// Reload 按给定配置重建渠道实例。失败只降级为隐藏并记录原因，绝不 panic/拖垮服务。
+func (m *Manager) Reload(ctx context.Context, c Config) error {
+	w, reason, err := build(ctx, c)
+	m.mu.Lock()
+	m.w = w
+	m.reason = reason
+	m.mu.Unlock()
+	if w != nil {
+		log.Printf("[payment] 微信支付 Native 渠道已启用 (mchid=%s)", c.MchID)
+	} else if !c.Empty() {
+		log.Printf("[payment] 微信支付渠道未启用: %s", reason)
+	}
+	return err
+}
+
+// Current 当前渠道实例；nil = 未配置/配置失败（渠道隐藏）。
+func (m *Manager) Current() *Wechat {
+	m.mu.RLock()
+	defer m.mu.RUnlock()
+	return m.w
+}
+
+// Status 给 admin 状态面：是否启用 + 未启用原因。
+func (m *Manager) Status() (bool, string) {
+	m.mu.RLock()
+	defer m.mu.RUnlock()
+	return m.w != nil, m.reason
+}
+
+// build 装配渠道实例；返回 (实例, 未启用原因, 错误)。配置为空不算错。
+func build(ctx context.Context, c Config) (*Wechat, string, error) {
+	if c.Empty() {
+		return nil, "未配置", nil
+	}
+	if miss := c.missing(); len(miss) > 0 {
+		reason := "配置不全，缺: " + strings.Join(miss, ", ")
+		return nil, reason, errors.New(reason)
+	}
+	w, err := New(ctx, c)
+	if err != nil {
+		return nil, "初始化失败: " + err.Error(), err
+	}
+	return w, "", nil
+}

sundynix-gateway/internal/payment/wechat.go

@@ -7,9 +7,7 @@ import (
 	"context"
 	"errors"
 	"fmt"
-	"log"
 	"net/http"
-	"os"
 
 	"github.com/wechatpay-apiv3/wechatpay-go/core"
 	"github.com/wechatpay-apiv3/wechatpay-go/core/auth/verifiers"
@@ -21,16 +19,7 @@ import (
 	"github.com/wechatpay-apiv3/wechatpay-go/utils"
 )
 
-// Wechat 微信支付 Native（扫码）适配器。凭据一律 env 注入：
-//
-//	WECHAT_MCHID              商户号
-//	WECHAT_MCH_CERT_SERIAL    商户 API 证书序列号
-//	WECHAT_MCH_PRIVATE_KEY    商户 API 私钥文件路径（apiclient_key.pem）
-//	WECHAT_APIV3_KEY          APIv3 密钥（32 字节）
-//	WECHAT_APPID              关联的公众号/小程序/APP 的 appid
-//	WECHAT_NOTIFY_URL         支付回调地址（须公网 https，如 https://api.example.com/api/v1/billing/callback/wechat）
-//
-// 任一缺失 → NewWechatFromEnv 返回 nil，渠道自动隐藏（半配置状态不许把下单路由搞出 5xx）。
+// Wechat 微信支付 Native（扫码）适配器。配置来源见 Config（DB 优先、env 兜底，由 Manager 装配）。
 // 本地开发收不到公网回调没关系：前端轮询的 GET /billing/orders/:id 会主动查单确认，
 // 回调只是生产环境更快的到账通道，两条路都汇入同一个幂等入账闸。
 type Wechat struct {
@@ -42,36 +31,20 @@ type Wechat struct {
 	svc       native.NativeApiService
 }
 
-// NewWechatFromEnv 依据环境变量装配微信渠道；未配置（或配置不全/私钥读不了）返回 nil。
-func NewWechatFromEnv(ctx context.Context) *Wechat {
-	mchID := os.Getenv("WECHAT_MCHID")
-	serial := os.Getenv("WECHAT_MCH_CERT_SERIAL")
-	keyPath := os.Getenv("WECHAT_MCH_PRIVATE_KEY")
-	apiv3 := os.Getenv("WECHAT_APIV3_KEY")
-	appID := os.Getenv("WECHAT_APPID")
-	notifyURL := os.Getenv("WECHAT_NOTIFY_URL")
-	if mchID == "" && serial == "" && keyPath == "" && apiv3 == "" {
-		return nil // 完全未配置：静默（大多数开发环境）
-	}
-	if mchID == "" || serial == "" || keyPath == "" || apiv3 == "" || appID == "" || notifyURL == "" {
-		log.Printf("[payment] 微信支付配置不全（MCHID/CERT_SERIAL/PRIVATE_KEY/APIV3_KEY/APPID/NOTIFY_URL 缺一不可），渠道保持隐藏")
-		return nil
-	}
-	priv, err := utils.LoadPrivateKeyWithPath(keyPath)
+// New 按完整配置装配微信渠道（私钥从磁盘路径加载；调用方保证字段齐全）。
+func New(ctx context.Context, c Config) (*Wechat, error) {
+	priv, err := utils.LoadPrivateKeyWithPath(c.PrivateKeyPath)
 	if err != nil {
-		log.Printf("[payment] 微信商户私钥加载失败(%s)，渠道保持隐藏: %v", keyPath, err)
-		return nil
+		return nil, fmt.Errorf("商户私钥加载失败(%s): %w", c.PrivateKeyPath, err)
 	}
-	client, err := core.NewClient(ctx, option.WithWechatPayAutoAuthCipher(mchID, serial, priv, apiv3))
+	client, err := core.NewClient(ctx, option.WithWechatPayAutoAuthCipher(c.MchID, c.CertSerial, priv, c.APIv3Key))
 	if err != nil {
-		log.Printf("[payment] 微信支付客户端初始化失败，渠道保持隐藏: %v", err)
-		return nil
+		return nil, fmt.Errorf("客户端初始化失败: %w", err)
 	}
-	log.Printf("[payment] 微信支付 Native 渠道已启用 (mchid=%s)", mchID)
 	return &Wechat{
-		mchID: mchID, appID: appID, notifyURL: notifyURL, apiv3Key: apiv3,
+		mchID: c.MchID, appID: c.AppID, notifyURL: c.NotifyURL, apiv3Key: c.APIv3Key,
 		client: client, svc: native.NativeApiService{Client: client},
-	}
+	}, nil
 }
 
 // CreatePay Native 下单：返回 code_url（前端渲染成二维码）。金额取订单锁定值。

sundynix-gateway/internal/router/router.go

@@ -15,7 +15,6 @@ import (
 	"github.com/sundynix/sundynix-gateway/internal/handler"
 	"github.com/sundynix/sundynix-gateway/internal/middleware"
 	"github.com/sundynix/sundynix-gateway/internal/nats"
-	"github.com/sundynix/sundynix-gateway/internal/payment"
 	"github.com/sundynix/sundynix-gateway/internal/store"
 )
 
@@ -33,8 +32,9 @@ func New(db *store.Postgres, cache *store.Redis, bus *nats.Bus, blobStore *blob.
 	r.Use(middleware.RateLimit(cache))  // 已认证按用户限流，否则按 IP（企业网多人共享 IP 不再互相拖累）
 	r.Use(middleware.Guardrail(db))     // Harness: Input Guardrail（命中落库 guardrail_event）
 
-	// 微信支付渠道按 env 装配；未配置返回 nil → 渠道自动隐藏，下单路由 400 引导用兑换码。
-	h := handler.New(db, cache, bus, blobStore).WithWechat(payment.NewWechatFromEnv(context.Background()))
+	h := handler.New(db, cache, bus, blobStore)
+	// 微信支付渠道装配：DB 配置优先（admin 控制面热重载）→ env 兜底 → 隐藏。失败不阻断启动。
+	h.InitWechat(context.Background())
 
 	// 可观测性根端点：Prometheus 抓取 + k8s 存活/就绪探针（不挂业务中间件鉴权）。
 	r.GET("/metrics", gin.WrapH(promhttp.Handler()))
@@ -133,11 +133,13 @@ func New(db *store.Postgres, cache *store.Redis, bus *nats.Bus, blobStore *blob.
 			admin.GET("/billing-config", h.BillingConfig)  // 全局计费规则（token→积分汇率 + 硬拦截开关）
 			admin.PUT("/billing-config", h.SaveBillingConfig)
 			admin.POST("/credits/grant", h.GrantCredits) // 给租户充值/发放积分
-			// 支付配置面（P5.1）：兑换码生成/查看 + 积分包配置
+			// 支付配置面（P5.1/P5.2）：兑换码生成/查看 + 积分包配置 + 微信支付配置（DB 热生效）
 			admin.POST("/redeem-codes", h.AdminGenRedeemCodes)
 			admin.GET("/redeem-codes", h.AdminRedeemCodes)
 			admin.GET("/packs", h.AdminPacks)
 			admin.PUT("/packs", h.AdminSavePack)
+			admin.GET("/payment/wechat", h.AdminGetWechatPay)
+			admin.PUT("/payment/wechat", h.AdminSaveWechatPay)
 			// 多租户成员管理（平台运维口径）
 			admin.GET("/tenants", h.AdminTenants)                        // 租户目录（成员数+余额）
 			admin.POST("/tenants", h.AdminCreateTenant)                  // 新建租户（可选指定 owner）