卡密签发与库存
批次生成、掩码查看、CSV 导出。明文只在创建时返回一次，数据库只保存不可逆摘要。
- 时长 / 次数 / 永久三种模型
- 单批次最多 500 张
- 冻结、封禁、解绑与删除
SOFTWARE LICENSING INFRASTRUCTURE
把软件授权
做成一件确定的事
卡密签发、设备绑定、在线验证、远程配置。全部运行在你自己的服务器上，数据、密钥与客户关系都归你所有。
有效卡密2,480+ 128 本周
活跃设备1,936绑定率 78%
今日验证18.2k成功率 99.6%
验证趋势成功
POST/api/v1/verify200 OK
{ "code": 0, "msg": "验证成功", "data": { "license": { "remaining_count": 48 }, "device": { "bound": true } } }
✓
设备已绑定1 / 2 个授权席位
⚡
响应 42 msHMAC 签名校验通过
3授权模型 / 时长 · 次数 · 永久
<100ms单次验证平均响应
0外部服务与运行时依赖
100%数据与密钥自主掌控
PRODUCT CAPABILITIES
授权该有的能力，
授权该有的能力，
一次给全
从第一张卡密到规模化运营，后台与 API 按商用标准设计，不做“能跑就行”的半成品。
设备级授权绑定
首次验证自动绑定设备指纹，支持一卡多设备、后台强制解绑与自助解绑冷却。
- 按应用 / 卡密双层级上限
- 设备黑名单
- 解绑冷却时间可配
签名与防重放
每个请求使用 App Secret 做 HMAC-SHA256 签名，时间窗 + nonce 双重校验，响应同样可验签。
- 300 秒时间戳窗口
- 10 分钟 nonce 去重
- 响应头签名防篡改
远程变量与公告
不发版也能调整客户端行为。公告、功能开关、下载地址随验证响应即时下发。
- 按应用隔离的键值配置
- 全局 / 应用级公告
- 最多 100 个远程变量
可观测与审计
每次验证、心跳、解绑都留痕。成功率、设备增长、应用调用排行在首页一眼掌握。
- 7 天验证趋势
- 失败原因与错误码
- 管理员操作审计
私有化，零锁定
一个 Node.js 进程、一个 SQLite 文件。没有 Redis、没有微服务，备份就是复制数据目录。
- 一条命令启动
- 支持 Windows / Linux
- 可平滑迁移到 MySQL
HOW IT WORKS
四步接入，
四步接入，
从签发到上线
客户端只需要一次验证 + 周期心跳，其余交给服务端。
01
创建应用
在后台创建应用，获得 AppID 与 App Secret，配置设备上限与心跳间隔。
02
生成卡密
选择时长、次数或永久卡，批量生成并导出，交给渠道或终端用户。
03
接入客户端
引入 C++ SDK，完成 HMAC 签名验证与设备指纹绑定，处理错误码与公告。
04
运营与风控
在后台查看验证日志、解绑异常设备、下发公告与远程变量，按需封禁。
SECURITY BY DEFAULT
安全不是选项，
查看接口安全说明
安全不是选项，
是默认配置
授权系统保护的是你的收入。我们把关键防线直接做进默认实现，而不是留给部署者“自行加固”。
✓
卡密摘要存储服务端使用 pepper + HMAC-SHA256，数据库泄露也无法还原明文卡密。
✓
请求签名与防重放时间戳窗口 + 一次性 nonce，拦截重放与伪造请求。
✓
管理端防线scrypt 密码、HttpOnly 会话、CSRF 校验、登录限流与操作审计。
✓
原子扣次条件更新保证并发下次数不会被超发。
✓
最小依赖不使用第三方授权云，密钥与客户数据不离开你的服务器。
verify_request.cpp
// 客户端请求签名 const canonical = app_id + "\\n" + card_key + "\\n" + device_id + "\\n" + timestamp + "\\n" + nonce; auto sign = hmac_sha256(secret, canonical); // 响应校验：对原始 body 验签 if (!verify_hmac(secret, raw_body, response.header("X-Aegis-Sign"))) { return "响应被篡改"; }
HMAC-SHA256 · 300s window · nonce replay guard