闪签证书站 · 部署自检

当前域名 yk.vipipa.cn　检测时间 2026-11-10 19:20:17

失败 4 项，需留意 3 项。红色的必须修好；黄色多数是「无法自动探测」，按提示里的命令手动验证即可。

检查项	结果	详情 / 处理办法
PHP 版本	通过	`7.4.33` 需要 PHP 7.1 以上（推荐 7.4 / 8.x）；宝塔建站时不要选「纯静态」
cURL 扩展	通过	`已启用` 未启用时会回落到 file_get_contents，需在 php.ini 打开 allow_url_fopen
当前 HTTPS	通过	`https 已生效` iOS ATS 会拒绝 http，必须部署有效 SSL 证书并强制跳转 https
部署目录	注意	`/www/wwwroot/yk.vipipa.cn/api` 确认是「网站根目录/api/」，且与服务器版 IPA 的服务基址同域
FLASH_SECRET 已修改	失败	`仍是默认值` 改 api/_lib.php：换成 32 位以上随机字符串，否则导入链接可被伪造
FLASH_ADMIN_PW 已修改	失败	`仍是默认值` 改 api/_lib.php：这是 api/admin.php 后台的登录密码
FLASH_PUBLIC_BASE	注意	`留空（自动判断）` 若站点在 CDN/反代后面导致生成 http:// 链接，把它写成 https://你的域名
上游 Token	通过	`TGYq8e****（base: https://xs.xskja.com）` 检查 data/upstream.json
data 目录可写	通过	`可写` 仅「本地订单」模式需要写入；上游模式不写盘也能用，可忽略
data/ 禁止 Web 访问	失败	`严重：HTTP 200，Token 可被公开下载` Nginx 加 location ~ ^/(data\|certs)/ { deny all; return 404; }；Apache 确认 AllowOverride All
certs/ 禁止 Web 访问	通过	`HTTP 403` 同上
远程配置 config.php	通过	`HTTP 200 / officialSourceURL = https://rjy.ipaioscc.cn/appstore` 若返回 PHP 源码或触发下载 = 建站时选成了「纯静态」，PHP 未解析
无扩展名接口 rewrite	失败	`HTTP 404 / 404 Not Found 404 Not Found nginx` Apache：确认 .htaccess 生效且 AllowOverride All；Nginx/宝塔：加伪静态 rewrite 到 router.php
PATH_INFO 证书下载	通过	`HTTP 403 / {"error":"invalid_request"}`
领取接口 claim	注意	`HTTP 404 / <html> <head><title>404 Not Found</title></head> <body> <center><h1>404 Not F` 返回 certificate_not_found 属正常（假 UDID 查不到证书）
上游证书站连通	通过	`Token 有效 / 余额 16.1 / 积分 0`

检查项

结果

详情 / 处理办法

PHP 版本

通过

7.4.33 需要 PHP 7.1 以上（推荐 7.4 / 8.x）；宝塔建站时不要选「纯静态」

cURL 扩展

通过

已启用 未启用时会回落到 file_get_contents，需在 php.ini 打开 allow_url_fopen

当前 HTTPS

通过

https 已生效 iOS ATS 会拒绝 http，必须部署有效 SSL 证书并强制跳转 https

部署目录

注意

/www/wwwroot/yk.vipipa.cn/api 确认是「网站根目录/api/」，且与服务器版 IPA 的服务基址同域

FLASH_SECRET 已修改

失败

仍是默认值 改 api/_lib.php：换成 32 位以上随机字符串，否则导入链接可被伪造

FLASH_ADMIN_PW 已修改

失败

仍是默认值 改 api/_lib.php：这是 api/admin.php 后台的登录密码

FLASH_PUBLIC_BASE

注意

留空（自动判断） 若站点在 CDN/反代后面导致生成 http:// 链接，把它写成 https://你的域名

上游 Token

通过

TGYq8e****（base: https://xs.xskja.com） 检查 data/upstream.json

data 目录可写

通过

可写 仅「本地订单」模式需要写入；上游模式不写盘也能用，可忽略

data/ 禁止 Web 访问

失败

严重：HTTP 200，Token 可被公开下载 Nginx 加 location ~ ^/(data|certs)/ { deny all; return 404; }；Apache 确认 AllowOverride All

certs/ 禁止 Web 访问

通过

HTTP 403 同上

远程配置 config.php

通过

HTTP 200 / officialSourceURL = https://rjy.ipaioscc.cn/appstore 若返回 PHP 源码或触发下载 = 建站时选成了「纯静态」，PHP 未解析

无扩展名接口 rewrite

失败

HTTP 404 / 
404 Not Found

404 Not Found
nginx

Apache：确认 .htaccess 生效且 AllowOverride All；Nginx/宝塔：加伪静态 rewrite 到 router.php

PATH_INFO 证书下载

通过

HTTP 403 / {"error":"invalid_request"}

领取接口 claim

注意

HTTP 404 / <html>
<head><title>404 Not Found</title></head>
<body>
<center><h1>404 Not F

返回 certificate_not_found 属正常（假 UDID 查不到证书）

上游证书站连通

通过

Token 有效 / 余额 16.1 / 积分 0

手动验证三条命令

DOMAIN=https://你的域名 curl -i $DOMAIN/api/config.php curl -i -X POST -H 'Content-Type: application/json' \ -d '{"udid":"40位真实UDID","code":"fsr_..."}' \ $DOMAIN/api/certificates/redeem curl -i $DOMAIN/data/upstream.json

第一条要返回含 officialSourceURL 的 JSON；第二条要返回 JSON（certificate_not_found 属正常），返回 404 HTML 就是 rewrite 没生效；第三条必须是 403/404，绝不能是 200。

与 IPA 的关系

服务器版 IPA 里写死的服务基址是 https://rjy.ipaioscc.cn，App 只会请求这个域名下的 /api/...。这套文件必须放在同一个域名的网站根目录，放子目录或放别的域名都不会生效。若实际要换域名，需要重新打一份 IPA（改服务基址字符串与长度立即数）。

自检通过后请删除 api/selftest.php，它虽然不输出 Token 明文，但会暴露服务器配置状态。