{
  "app_key":     "你的64位AppKe...",
  "card_code":   "用户输入的卡密",
  "device_hash": "16-64位设备指纹（少于16位会被拒）",
  "action":      "verify"            // 可选，心跳传 heartbeat
}

{
  "app_key":        "你的64位AppKe...",
  "encrypted_data": "Base64( hmac[32] ‖ iv[16] ‖ ciphertext )"
}
// 明文内容里必须带 _ts（Unix 秒，10 位），服务端允许 ±300 秒

// 应用开了「响应加密」时，整个 JSON 只剩这一个字段，
// 解密前拿不到 code / msg / data，连错误信息都是密文
{
  "encrypted_data": "Base64( iv[12] ‖ tag[16] ‖ ciphertext )"
}
// 解密后才是正常的 { code, msg, data }

// —— PHP ——
$bin = base64_decode($enc);
$iv  = substr($bin, 0, 12);
$tag = substr($bin, 12, 16);
$ct  = substr($bin, 28);
$pt  = openssl_decrypt($ct, 'aes-256-gcm', hex2bin($appKey), OPENSSL_RAW_DATA, $iv, $tag);

{
  "code": 200,
  "msg":  "OK",
  "data": {
    "expire_time": "2026-11-30 23:59:59",
    "card_type":   "month",
    "custom_data": "",
    "variables":   { "hb_interval": "300" },
    "notice":      "应用公告内容"          // 可选：后台没填公告时为 null
  }
}

后台「程序管理 → 公告管理」里填的文本，会在验证成功和心跳的响应里一并下发，字段名 data.notice。 后台没填就返回 null，不需要额外请求接口，也不用改请求参数。

// 响应里的位置
{
  "code": 200,
  "data": {
    "expire_time": "2026-11-30 23:59:59",
    "notice":      "【重要】服务迁移通知，请重新登录"   // 没公告时是 null
  }
}

只传 app_key、不传卡密，就是「拉公告 / 变量 / 版本」接口。启动软件时先调一次，用户还没输卡密也能看到公告。

// 请求（不需要 card_code，也不需要 device_hash）
{ "app_key": "你的64位AppKe..." }

// 响应
{
  "code": 200,
  "data": {
    "notice":    "【公告】本软件已更新到 2.1.0",
    "variables": { "kf_qq": "123456789", "min_version": "2.0.0" },
    "update":    { "version": "2.1.0", "url": "", "force": 0 }
  }
}

// —— PHP ——
function getNotice(string $api, string $appKey): array {
    $raw = http_post_json($api, ['app_key' => $appKey]);
    $r = json_decode((string)$raw, true);
    if (!is_array($r))            return ['success' => false, 'notice' => null, 'error' => '解析失败'];
    if ((int)$r['code'] !== 200) return ['success' => false, 'notice' => null, 'error' => $r['msg']];
    return ['success' => true, 'notice' => $r['data']['notice'] ?? null, 'error' => null];
}

后台「程序管理 → 管理 → 更新配置」里可以给每个程序单独填新版本下载地址、强制更新开关。 这些值会在验证成功、心跳、以及只传 app_key 的轻量调用三种响应里一并下发，字段名 data.update。 不填就不下发（update.url 为空字符串），客户端可以完全忽略这个字段。

// 响应里的位置
{
  "code": 200,
  "data": {
    "expire_time": "2026-11-30 23:59:59",
    "update": {
      "version": "2.2.0",                              // 后台「程序管理 → 编辑」里填的版本号
      "url":     "https://dl.example.com/app-v2.2.0.apk",  // 更新配置里填的下载地址，没填是 ""
      "log":     "修复若干问题",                        // 程序备注，可当更新日志
      "force":   1                                       // 1=强制更新，0=可选
    }
  }
}

// 伪代码：拿到响应后先做这一步，再走正常业务
update = data.update
if (update.url != "") {                  // 后台没配置就什么都不做
    remote  = version_tuple(update.version)   // "2.2.0" -> [2,2,0]
    current = version_tuple(LOCAL_VERSION)    // 客户端自己的版本
    if (remote > current) {
        if (update.force == 1) {
            // 强制：弹不可取消的对话框，只能点「去更新」
            show_blocking_dialog("必须更新到 " + update.version, update.url, update.log)
            return  // 不继续业务
        } else {
            // 可选：弹一个能关闭的提示
            show_optional_dialog("有新版本 " + update.version, update.url, update.log)
            // 继续正常业务
        }
    }
}

同一个 AppKey，后台这些开关改一下，接口的校验规则和返回结构就会变。 客户端如果写死了某种行为，开关一改就会出问题 —— 所以对接前先确认下表里的值。

后台 →「程序管理」→ 点应用名进「程序设置」/「传输设置」，每个开关旁边都有说明。 改完立即生效，不需要客户端重新发版。

不注册账号，用户直接输卡密就能用。这是最省事的模式 —— 一把卡密对应一台设备， 换设备要解绑。后台可以按小时 / 天 / 周 / 月 / 季 / 年 / 永久卖卡，也可以在「生成卡密」里 指定任意小时数。

卡密验证 card_code + device_hash

payload = str(code) + "|" + msg + "|" + json_encode(data)   // data 为 null 时用 "null"
expect  = HMAC_SHA256(payload, server_sign_key)            // 输出小写十六进制
if (expect != resp.sign) { 拒绝这个响应 }

if (($r['code'] ?? 0) === 200) {
    $expire = $r['data']['expire_time'];
    // 通过：进主界面，把卡密和到期时间存起来
} else {
    die('验证失败：' . ($r['msg'] ?? '网络错误'));
}

卡密心跳 heartbeat(card_code, device_hash)

心跳比 verify 少两个字段：不返回 data.card_type 和 data.custom_data —— 这两个是首次验证才下发的一次性信息，心跳不重复给。 其余四个 data 字段和 verify 完全一致。
失败时 code=403，客户端应该立刻退回输卡密界面，把本地存的卡密清掉。

解除设备绑定 unbind(card_code)

除了卡密，还支持注册账号 → 用卡密充值 → 账号登录。两种模式可以同时用，老用户继续输卡密，新用户注册账号。 所有请求都发往同一个 /Verifyfile/api.php，只用 action 区分。

用户注册 user_register(username, password, confirm_password)

// 请求
{
  "app_key":          "你的64位AppKe...",
  "action":           "user_register",
  "username":         "zhangsan",
  "password":         "abc123456",
  "confirm_password": "abc123456"
}

// 响应
{ "code": 200, "msg": "注册成功", "data": { "username": "zhangsan", "id": 2 } }

卡密充值 recharge(username, card_code)

// 请求
{
  "app_key":   "你的64位AppKe...",
  "action":    "recharge",
  "username":  "zhangsan",
  "card_code": "TK3S2UF79TZ2WYSSJE"
}

// 响应
{
  "code": 200, "msg": "充值成功",
  "data": {
    "expire_time": "2026-11-29 14:54:24",
    "added_hours": 720,
    "card_type":   "月卡"
  }
}

用户登录 user_login(username, password, device_hash)

// 请求
{
  "app_key":     "你的64位AppKe...",
  "action":      "user_login",
  "username":    "zhangsan",
  "password":    "abc123456",
  "device_hash": "设备指纹"
}

// 响应
{
  "code": 200, "msg": "登录成功",
  "data": {
    "expire_time": "2026-11-29 14:54:24",
    "statecode":   "eba30d6d6a058bc4f1a2...",
    "notice":      "【公告】账号模式也能收到公告"
  }
}

用户心跳 user_heartbeat(username, password, statecode)

// 请求
{
  "app_key":   "你的64位AppKe...",
  "action":    "user_heartbeat",
  "username":  "zhangsan",
  "password":  "abc123456",
  "statecode": "eba30d6d6a058bc4f1a2..."
}

// 响应
{ "code": 200, "msg": "心跳成功", "data": { "expire_time": "2026-11-29 14:54:24", "notice": "【公告】..." } }

用户公告（跟着登录/心跳下发）

// 登录 / 心跳的 data 里都会带这个字段
{
  "code": 200,
  "data": {
    "expire_time": "2026-11-29 14:54:24",
    "statecode":   "eba30d6d6a058bc4f1a2...",
    "notice":      "【公告】服务器今晚 23:00 迁移"   // 没公告时为 null
  }
}

账号解绑 IP ip_unbind_user(username, password)

{
  "app_key":  "你的64位AppKe...",
  "action":   "ip_unbind_user",
  "username": "zhangsan",
  "password": "abc123456"
}

// 响应
{ "code": 200, "msg": "IP 解绑成功", "data": { "old_ip": "112.19.228.181" } }

卡密解绑 IP ip_unbind(card_code, device_hash?)

{
  "app_key":     "你的64位AppKe...",
  "action":      "ip_unbind",
  "card_code":   "TK3S2UF79TZ2WYSSJE",
  "device_hash": "可选的设备指纹"
}

// 响应
{ "code": 200, "msg": "IP 解绑成功", "data": { "old_ip": "112.19.228.181" } }

// 登录被拒时自动换绑
var r = gy.Call(card, device, "user_login");
if (r.code == "403" && r.msg.Contains("已绑定其他设备")) {
    // 先弹确认框，别静默扣时长
    if (MessageBox.Show("换电脑需要换绑，将扣除时长，继续吗？", "确认",
                       MessageBoxButtons.YesNo) == DialogResult.Yes) {
        var rb = gy.Call2("rebind", new {
            username = user, password = pass, device_hash = device
        });
        if (rb.code == "200") {
            MessageBox.Show("换绑成功，新到期时间：" + rb.data.expire_time);
            gy.Call(card, device, "user_login");   // 重新登录
        } else if (rb.code == "402") {
            MessageBox.Show("时长不足，请先充值");
        } else {
            MessageBox.Show("换绑失败：" + rb.msg);
        }
    }
}

三个最容易踩的格式坑

• _ts 必须是秒，不是毫秒：10 位整数（如 1761912000）。传 13 位毫秒（如 1761912000123）会被判成「请求已过期」，因为差值直接超出 ±300 秒窗口
• device_hash 长度必须 16–64 字符：短于 16 或长于 64 返回 设备码格式不正确。用 SHA-256 十六进制串（64 位）或 UUID（36 位）都合适
• app_key 必须 64 位十六进制：不是 Base64，也不是截断的短串。长度不对会直接判 应用身份标识无效
• verify 连续失败会限频：同一 IP 1 分钟内失败 30 次，后续请求返回 429 验证失败次数过多，请 1 分钟后再试。成功一次就清零。 调试时注意：别用同一个 IP 连续试错卡号，很容易把自己锁 1 分钟。

时间字段说明（expire_time / added_hours）

// —— 通用判断：年份 >= 2099 即永久 ——

// PHP
$isPermanent = strpos($expireStr, '2099-') === 0;

• 接口返回的是到期时刻，不是剩余秒数；需要剩余时间就用「到期时刻 − 当前时刻」自己算
• 永久卡（2099）算出来的剩余天数没有意义，界面上直接显示「永久」
• expire_time 为 null 时不要参与任何时间计算，按「未充值」分支处理
• recharge 接口额外返回 data.added_hours（本次充值的时长小时数），可用于提示「已增加 N 小时」
• 多张卡可以叠加：同一个账号连续充多张卡，时长累加，不会覆盖。 例：天卡（24h）→ 周卡（168h）→ 月卡（720h），最终有效期 = 24+168+720 = 912 小时。
• 账号未过期时从当前到期时间往后加；已过期时从当下开始算（不会把过期的空档也补上）。
• 每张卡只能充一次（cards.status 置 1），同一张卡重复调 recharge 返回 400「该卡密已被使用或不处于可充值状态」。
• 永久卡不能用于 recharge（时长无限无法累加），文档前面已说明；账号体系里请改用月卡/年卡

错误码速查

• 400 — 参数错误 / 参数类型不对（传了数组或对象）/ 加密格式不对 / 时间戳过期 / 业务前置条件不满足
• 403 — 鉴权失败 / 卡密被封 / 程序被禁用 / 账号到期 / 卡密已冻结 / 解绑被拒
• 429 — 触发频率限制，客户端应退避重试
• 500 — 服务端异常

调用示例

// —— PHP ——
$r1 = s6_call($api, $appKey, ['action'=>'ip_unbind_user', 'username'=>$u, 'password'=>$p]);
$r2 = s6_call($api, $appKey, ['action'=>'ip_unbind', 'card_code'=>$card]);

错误处理（客户端要做的分流）

// —— PHP ——
$lg = s6_call($api, $appKey, ['action'=>'user_login', 'username'=>$u, 'password'=>$p, 'device_hash'=>$mc]);
if (($lg['code'] ?? 0) === 200) { enterMain($lg['data']['expire_time'], $lg['data']['statecode']); }
elseif (strpos($lg['msg'] ?? '', '未充值') !== false || strpos($lg['msg'] ?? '', '已到期') !== false) { showRecharge(); }
elseif (strpos($lg['msg'] ?? '', '其他设备') !== false) { showUnbind(); }
else { showToast($lg['msg'] ?? '登录失败'); }

// —— PHP ——
$reg = s6_call($api, $appKey, ['action'=>'user_register', 'username'=>$u, 'password'=>$p, 'confirm_password'=>$p]);
$rc  = s6_call($api, $appKey, ['action'=>'recharge', 'username'=>$u, 'card_code'=>$card]);
$lg  = s6_call($api, $appKey, ['action'=>'user_login', 'username'=>$u, 'password'=>$p, 'device_hash'=>$mc]);
$hb  = s6_call($api, $appKey, ['action'=>'user_heartbeat', 'username'=>$u, 'password'=>$p, 'statecode'=>$lg['data']['statecode']]);

s6sdk-php/
  s6verify.php      核心 SDK
  demo.php          示例（AppKey 已注入）
  README.md         加密协议 + 方法速查

• PHP 网站后端做中转验证（客户端 → 你的服务器 → S6）
• 发卡网 / 卡密销售站对接
• 命令行运维脚本、定时任务
• ThinkPHP / Laravel / 原生 PHP 都可以

require_once __DIR__ . '/s6verify.php';

$v = new S6Verify(
    'https://你的域名/Verifyfile/api.php',
    '你的64位AppKey'
);

$v->setDevice(get_machine_code());
$v->setTimeout(15);   // 秒，默认 15

require_once 's6verify.php';
$v = (new S6Verify(API_URL, APP_KEY))->setDevice(get_machine_code());

// ① 先拉公告和版本（不需要卡密）
$n = $v->getNotice();
if ($n->ok) {
    if ($n->notice !== '')     show_notice($n->notice);
    if ($n->update_ver !== '') ask_update($n->update_url, $n->force_update === 1);
}

// ② 卡密验证
$r = $v->verify($card);
if (!$r->ok) { echo "验证失败: {$r->msg}"; exit(1); }
enter_main($r->expire_time);

// ③ 心跳：真实项目用 crontab 每 3~5 分钟跑一次
$h = $v->heartbeat($card);
if (!$h->ok) force_back_to_login($h->msg);

$n = $v->getNotice();
if ($n->ok) {
    echo "公告: {$n->notice}";
    foreach ($n->variables as $k => $val) {
        echo "变量 {$k} = {$val}\n";
    }
}

$r = $v->verify('KFF669EJ92NVKZYS');
if ($r->ok) {
    echo "验证通过，到期: {$r->expire_time}  类型: {$r->card_type}";
} else {
    echo "验证失败[{$r->code}]: {$r->msg}";
}

$h = $v->heartbeat($card);
if (!$h->ok) force_back_to_login($h->msg);   // 403 = 被踢，别自动重登

$u = $v->unbind($card);
if ($u->ok)                        echo '已解绑';
elseif ($u->code === 402)         echo '剩余时长不够扣';
else                             echo $u->msg;

$r = $v->userRegister('玩家昵称', '密码');
echo $r->ok ? '注册成功' : $r->msg;

$r = $v->userLogin($user, $pwd);
if ($r->ok) {
    $statecode = $r->statecode;                       // 心跳必须带上
    if ($r->kicked_previous === '1') tip('已在其他设备登录，原来的被挤下线');
    if ($r->charged_hours > 0)      tip("换设备扣了 {$r->charged_hours} 小时");
    if ($r->online_devices > 1)     tip("当前 {$r->online_devices} 台设备在线");
    enter_main($r->expire_time);
} elseif ($r->code === 402) {
    tip('换设备要扣时长，你剩余不够');
} else {
    tip($r->msg);
}

$h = $v->userHeartbeat($user, $pwd, $statecode);
if (!$h->ok) force_back_to_login($h->msg);
else $statecode = $h->statecode;   // 可能刷新

$r = $v->recharge($user, $card);
echo $r->ok ? "充值成功，到期 {$r->expire_time}" : $r->msg;

$r = $v->rebind($user, $pwd);
if ($r->ok)                    echo '换绑成功';
elseif ($r->code === 400)      echo '管理员关闭了自助换绑';
elseif ($r->code === 402)      echo '剩余时长不够扣';
else                         echo $r->msg;

$a = $v->ipUnbind($card);            // 卡密
$b = $v->ipUnbindUser($user, $pwd);  // 账号
var_dump($a->ok, $a->msg);

<?php
require_once __DIR__ . '/s6verify.php';

define('API_URL', 'https://你的域名/Verifyfile/api.php');
define('APP_KEY', '你的64位AppKey');

function get_machine_code() {
    $raw = '';
    if (PHP_OS_FAMILY === 'Windows') {
        $out = @shell_exec('wmic csproduct get UUID 2>nul');
        if ($out) {
            foreach (preg_split('/[\r\n]+/', trim($out)) as $line) {
                $line = trim($line);
                if ($line !== '' && stripos($line, 'UUID') === false) { $raw = $line; break; }
            }
        }
    } else {
        $raw = @file_get_contents('/etc/machine-id') ?: '';
        $raw = trim($raw);
    }
    if ($raw === '') $raw = php_uname('n');
    return substr(hash('sha256', $raw), 0, 32);
}

$v = (new S6Verify(API_URL, APP_KEY))->setDevice(get_machine_code());

$n = $v->getNotice();
if ($n->ok && $n->notice !== '') {
    echo "公告: {$n->notice}\n";
}

$card = $argv[1] ?? '你的卡密';
$r = $v->verify($card);
if (!$r->ok) {
    echo "验证失败[{$r->code}]: {$r->msg}\n";
    exit(1);
}
echo "验证通过，到期: {$r->expire_time}\n";

// 真实项目用 crontab 每 3~5 分钟跑一次心跳，不要放在 HTTP 请求里
$h = $v->heartbeat($card);
if (!$h->ok) {
    echo "心跳失败[{$h->code}]: {$h->msg}\n";
    exit(1);
}
echo "心跳正常\n";

机器码由客户端本地计算，服务端只做字符串比对，没有「查机器码」的接口。 要求：同一台机器每次算出来完全一样；不同机器不撞。

// —— PHP ——
function getMachineCode(): string {
    $src = php_uname('n') . '|' . php_uname('m') . '|' . APP_KEY;
    return substr(hash('sha256', $src), 0, 32);
}