Appearance
统一网关入口 · HMAC-SHA256 签名 + SM4 加密 · 全流程异步闭环
所有业务能力经统一入口 /api/gateway 调用；POST 使用 head/body JSON，简单查询可使用 GET 参数，均按 head.method 路由到内部接口。
每笔请求携带 appid 凭证与基于对称密钥的 HMAC-SHA256 签名，平台校验来源合法性与报文完整性，全程不依赖登录态。
平台为每个 appid 下发同一把对称密钥，HMAC-SHA256 加签验签与 SM4 敏感字段加解密共用；无证书、无公私钥，接入与轮换更轻量。
证件号、银行卡号、交易密码等敏感字段用国密 SM4 加密上送，链路全程不出现明文。
申请类业务异步处理，受理后由对接方主动查询获取最终态；一期来帐订单通知全过程推送。
主体准备（入网/报备/收款账户申请/申请结果查询/账户查询）、收款与合同、退款、付款（含收款人报备/请求/查询）、换汇、余额查询、文件上传与下载。
一个代理商可创建多个 appid，按 appid 路由 + 业务层校验商户归属，各 appid 独立鉴权、独立配额、互不可见。
代理商渠道商户的短信/邮件通知由代理商自行负责，平台不向其发送任何通知，与平台自有商户完全隔离。