免登录直测 刷卡机 / 电子发票 —— 跟「本商城会员有没有登录」无关
这些接口只认 config.php 里的 API 凭证（商户身份），不认谁登录了。
下面 1~3 步的手机 OTP 是为了拿统一用户号 user_no（跨系统识别、按人归属订单才需要）；
真正必须登录的只有余额充值 / 余额支付 —— 那是接入方自己的钱包，中台没有这个能力。
A门店刷卡（EDC）GET /edc/devices ｜ 刷卡在收银台发起
试单是本地建单，零中台调用；刷卡命令要到收银台才发出。 真机是真交易：小额、当日退货/取消、测完记得结帐。
B电子发票GET /invoice/status ｜ POST /invoice/create
发票没有任何回调，只能轮询；没开过票查出来是 40001 發票不存在，那不是故障。
❗开出后不可修改、跨月不可作废 —— 要真开就用上面那张 NT$1 试单，开完立刻去厂商后台作废。
接入流程 按顺序点，每步都会显示真实请求与签名串
浏览器不直接调中台：api_secret 不能落到前端，中台也没开 CORS。
页面调的是本 demo 自己的后端 api.php，由它签名后转发 —— 这就是真实接入形态。
0连通自检GET /health（Open 路由，不需签名）
1手机 OTP 取验证码POST /auth/mobile/request-otp
2验码换统一用户号POST /auth/mobile/verify-otp
3绑定本地会员POST /user/bind-business
4下单POST /payment/create
5查单 / 开票 / 发通知GET /payment/status ｜ POST /invoice/create ｜ POST /notify/send
这三个都不需要登录，只要有订单号就能调 —— 想直接测开票走最上面的「免登录直测」。
6回调验签中台 → 本 demo callback.php
下单时 notify_url 已指向本 demo 的 callback.php。中台支付完成后回调，
demo 用同款 HMAC 复算验签，只有验签通过才回 {"code":0}，否则中台按退避重试。
收到的回调会出现在右侧 callbacks 表。
最近一次调用 请求 → 中台响应 → 签名串
待执行
点左边任意按钮开始
（这里会显示中台的原样响应）
展开签名调试（签名错时先看这里）
—