从签名到回调，
按这份文档一次接通。

你是一名资深支付接口集成工程师。请在我现有的项目中完成 DuoCai码支付接入，并以 https://pay.1kexiu.xyz/docs/api 为接口规则来源。先只读检查项目已有的订单、支付、回调、数据库和配置实现，优先复用现有结构，禁止重写无关模块、升级框架或修改第三方依赖。

【先判断接入方式，只选择一条主路径】
A. 如果项目已有“易支付/彩虹易支付/异步支付”兼容插件：优先只配置网关 https://pay.1kexiu.xyz/（必须保留末尾 /）、PID、KEY 和支付类型，由现有插件完成签名、下单及回调；除非插件确实缺少功能，否则不要再写一套 /mapi.php 对接。
B. 如果项目没有兼容插件、需要自行开发服务端：走 DuoCai 原生码支付流程，服务端 POST /mapi.php 下单、POST /api.php 查单，并实现 notify_url 回调验签和幂等入账。
C. 如果只需要网页跳转收银台：由服务端生成签名后 POST /submit.php；该接口返回 HTML，不是 JSON。
先说明你识别出的接入模式和判断理由；除非我明确要求，不要同时实现多条路径。

【我的接入目标】
1. 接口域名：https://pay.1kexiu.xyz
2. 商户 PID：从环境变量 DUOCAI_PID 读取。
3. 支付对接密钥：从环境变量 DUOCAI_PAY_KEY 读取。
4. 需要接入的支付分类：alipay、wxpay；如果项目还需要 qqpay，再一并支持。
5. 按上面的模式判断执行；不能识别时先列出项目中找到的支付插件、下单入口和回调路由，再选择改动最小的方案。
6. 不要要求我把真实 PID 或密钥粘贴到聊天中，不要把密钥写入前端、APP、日志、异常信息或代码仓库。

【必须严格实现的签名规则】
1. 使用 application/x-www-form-urlencoded 解析后的原始字段值。
2. 排除 sign、sign_type、a、c、m、s。
3. 排除值为 null 或空字符串的字段；数字 0 和字符串 0 必须参与签名。
4. 其余实际发送的字段按参数名升序排序。
5. 按 参数名=原始参数值 拼接，字段之间使用 & 连接。
6. 在完整参数串末尾直接追加 DUOCAI_PAY_KEY 的值，不要追加 &key=，然后计算 UTF-8 字节的 32 位小写 MD5。
7. 必须先使用原始值计算签名，再进行表单 URL 编码并发送。
8. 签名前禁止执行 htmlspecialchars、htmlentities、trim、大小写转换、金额格式重写、JSON 转义、URL 重组或二次 urlencode/urldecode。
9. notify_url 和 return_url 可以携带多个查询参数；其中的原始 & 必须参与签名，不能改成 &。
10. 请求中的 money 按实际发送的原始字符串签名；回调中的 money 按平台实际返回值验签，通常为两位小数。

【创建订单】
使用 POST https://pay.1kexiu.xyz/mapi.php，Content-Type 为 application/x-www-form-urlencoded。至少发送：
pid、type、out_trade_no、notify_url、return_url、name、money、sign、sign_type=MD5。
param、clientip、device 等可选字段只要非空并实际发送，就必须参与签名。
return_url 在当前系统中为必填字段。
out_trade_no 在同一 PID 内必须唯一，最长 128 字符，只允许字母、数字和 . _ - |。为兼容当前系统并避免跨项目碰撞，必须生成全局高概率唯一值，推荐“项目标识_时间戳_随机串”，禁止只用简单自增数字。money 范围是 0.01~99999999.99 且最多两位小数；name 最长 188，notify_url/return_url 最长 288，param 最长 300 字符。
不要把 SERVER_GENERATED_SIGN 当作真实签名，它只是文档占位符。

接口业务失败可能仍返回 HTTP 200，所以必须解析 JSON 并判断 code。code=1 才表示下单成功。成功响应可能返回 payurl，也可能返回 qrcode；代码要兼容两者，优先使用实际非空字段，并保存平台 trade_no。不要只根据 HTTP 状态码判断成功。

如果使用 /submit.php，它返回 HTML 收银台页面，不是 JSON。签名必须仍在服务端生成，浏览器只能接收已经签好的自动提交表单，不能接触支付密钥。

【异步回调】
1. notify_url 接收端同时兼容 URL 查询参数和 POST 表单；PHP 可用 array_replace($_GET, $_POST)，同名字段以 POST 为准，其他语言实现同等逻辑。
2. 使用收到的原始字段重新计算签名，并用安全比较函数核对 sign。
3. 验证 trade_status 必须等于 TRADE_SUCCESS。
4. 按 out_trade_no 查询本地订单，核对 pid、money、订单状态和平台 trade_no。
5. 使用数据库事务、行锁或唯一约束实现幂等：同一订单重复通知不能重复加款、发货或执行权益。
6. 只有本地订单核验、幂等业务处理和数据库事务全部成功提交后，才返回纯文本 success；失败返回 fail 或非 2xx。任何带 TODO、占位函数或尚未实现入账逻辑的回调示例都必须默认返回 fail，严禁在占位代码后直接返回 success。
7. return_url 只用于浏览器展示，禁止仅凭同步跳转更新付款状态或发货。

【主动查单】
使用服务端 POST https://pay.1kexiu.xyz/api.php，表单参数使用 pid 和 key 鉴权，key 的值来自 DUOCAI_PAY_KEY，不使用下单 sign 代替 key。
单笔查单：act=order，加 out_trade_no 或 trade_no。
订单列表：act=orders，加 page 和 limit，limit 范围 1 至 50。
商户状态：act=query。
成功响应字段必须按真实结构处理：act=query 返回 code,pid,key,active,money,username,type；act=order 返回 code,trade_no,out_trade_no,type,money,price,status,pay_time；act=orders 返回 code,total,data，其中 data 是订单数组。
status=0 表示未支付，status=1 表示支付成功，status=2 表示订单已超时；pay_time 是 Unix 秒级时间戳，未支付时可能为 null。只能在 code=1 且 status=1 时按“已支付”处理。
act=query 为兼容旧协议会在响应中包含 key，该字段等同敏感密钥；禁止把完整响应返回浏览器、APP、第三方日志或错误监控。
GET 查询仅为兼容旧客户端，不要在新代码中把密钥放进 URL。

【固定签名测试向量】
先为签名函数编写自动化测试，下面参数必须得到指定 MD5：
pay_key = test_pay_key_20260813
pid = M1234567890
type = alipay
out_trade_no = ORDER202608130001
notify_url = https://shop.example.com/pay/notify?channel=alipay&version=2
return_url = https://shop.example.com/pay/return?order=ORDER202608130001&source=pay
name = 测试订单
money = 1.00
expected_sign = beddd35092c3afea54c5218de0872502

测试还必须覆盖：空字符串、null、数字 0、money 分别为 1/1.0/1.00、中文商品名、空格、+、%、引号，以及 notify_url/return_url 含多个 &。同时验证签名后再做表单编码，确保实际发送字段与参与签名字段完全一致。

【实现与安全要求】
1. 先找到项目已有的订单模型、支付服务、回调路由和配置方式，做最小修改并保持现有代码风格。
2. PID 和密钥只从服务端环境变量或安全配置读取；日志不得记录密钥、完整签名原文或完整回调 Token。
3. 不关闭 TLS 证书验证，不使用浮点数直接比较金额；金额使用 decimal 或整数分，并按业务规则精确比较。
4. 请求超时或响应不确定时保留原 out_trade_no 和全部原始业务参数，在数秒内重复查单；当前平台不承诺下单请求幂等，禁止并发重试或立即更换订单号。
5. 当前接口域名是生产环境，没有独立沙箱。未经我明确确认，不调用会创建订单或产生资金行为的 /mapi.php、/submit.php，不进行真实付款、退款、发货或生产数据写入测试；默认只做固定签名向量、Mock 回调、Mock 查单和本地自动化测试。
6. 如果现有项目规则与接口要求冲突，先指出具体文件和冲突原因，再给出保持兼容的最小修复，不要自行猜测。

【完成后请交付】
1. 说明修改了哪些文件、每个文件做了什么。
2. 给出需要配置的环境变量和部署步骤。
3. 给出签名、下单响应、回调幂等和主动查单的自动化测试结果。
4. 明确哪些内容已经实际验证、哪些因为没有真实付款而尚未验证。
5. 提供一个安全的联调检查清单；如果失败，输出脱敏后的参数名称、排序结果和请求编号，但绝不输出真实密钥。

现在请先检查我的项目结构和现有支付实现，然后直接完成最小范围接入。如果你不能直接读取或修改项目，就按我的技术栈输出可复制的完整文件，并明确每个文件的放置路径。