收錢的那把鑰匙，被發現掛在店門口：易支付 syskey 後門的市場寓言

11 月 1 日，開發者 TomyJan 在 V2EX 貼出一則警告：國內不少小站長在用的「彩虹易支付」，藏了一個高風險後門。任何訪客只要在請求裡夾帶一個偽造的 PHP-Version 表頭，程式就會一步步拆字、拼出內部欄位名，最後把系統的根密鑰 syskey 寫進回傳的 Cookie 裡，雙手奉上。

這樣講也許還是很抽象。換個你熟悉的場景：市場裡賣魚的阿伯，收錢的鐵盒就放在攤子底下，鑰匙掛在攤車側邊的釘子上，二十年來沒人動過。某天有個熟客指著那根釘子說，你知不知道，來買魚的人其實都看得到？阿伯愣住。鑰匙一直都在那裡，只是從來沒人往那個方向看。

syskey 之於一個支付系統，就是那把鑰匙。來源說明，拿到它的人，只要知道訂單號，就能偽造簽名查詢訂單、直接發起退款；知道紅包編號，可以伸手把紅包領走。這不是偷看你今天賣了幾尾蝨目魚，這是繞過你本人，直接打開錢盒把錢退給別人。而且根據檔案時間戳判斷，至少 2023 年 10 月的版本就已經中招，最新版也還在名單上。更諷刺的是，貼文末尾補了一句：彩虹自己的網站，這個後門當時仍可用。

收款這件事，我們其實都在餐桌上遇過。市場攤販那句「你轉給我就好」，背後是一整套看不見的管線，這在跨境支付與旅行餐桌的故事裡聊過。而當管線裡的憑證出了問題，那種「回饋明明該進帳卻沒進帳」的排查心情，也和行動支付回饋漏領的檢查清單同一個味道：先別慌，一項一項對。

來源提供的修復步驟，讀起來就像攤販被提醒之後的整改清單。先補牆：把修補檔案放進指定目錄、重載 PHP。再換鎖：到資料庫把 syskey 那一行整組重新生成，並清掉快取。然後對帳：回頭檢查訂單紀錄，看有沒有不明的退款。最後認賠整理：金鑰輪轉之後，所有登入狀態失效，收款碼、邀請碼、紅包連結這些原本憑舊鑰匙運作的東西，通通要重新核發。貼文裡還附了檢測腳本，讓站長自己驗一驗，鎖到底換好了沒。

這份清單最有人情味的地方在最後一步。換了鑰匙，等於承認過去發出去的憑證全作廢，該重談的重談、該補發的補發。就像家裡換了新門鎖，之前交給鄰居保管的備用鑰匙全部收回，送醬菜的、收瓦斯費的、幫忙澆花的，都得重新交代一次。麻煩，但這是信任重新開始的唯一方式。

留言區裡有兩句話值得記下。一位網友說，不少灰色產業在用這套系統；另一位則說，自己上次順手升級時就被 AI 掃出這個問題，也讓 AI 修掉了。鑰匙掛太久，第一個發現的常常不是主人。

如果你身邊正好有人開著小店、跑著網站、用第三方系統收錢，這幾天不妨問一句：你的 syskey 換了沒。問完之後，照舊去市場，魚照買，湯照滾。只是那句「你轉給我就好」，聽起來會踏實一點。