登录
口令是激活端点上那把 ADMIN_TOKEN（两处必须逐字节相同）。
口令只在这个请求的 body 里出现一次，服务端换回来的是一个 12 小时的会话 cookie ——
口令原文不会进 cookie，也不会进 URL。
现在能不能用
这一屏回答的就是这一个问题。每一项都对应一个"平时看不见、一坏就全盘皆错"的东西。
面板
上游（激活端点）
码池余量
⚠️ 这个数来自 KV 的列表，而它是最终一致的：取走一个码之后， 数字要约 1 分钟才跟着变。它适合回答"要不要补货"，不适合当精确账目。
原始答复
面板只做搬运，不改上游的口径。对不上时以这里为准。
—
按标识操作
标识可以给三种写法：4 位流水号（AB12）、
整条短码（MP1-AB12-2C7K-9AB3）、
或者用户发来的整条授权令牌。
三种都收成同一个流水号，服务端会告诉你它是怎么读的 ——
那正是"打错一位"唯一能被看出来的地方。
「换机」清空机器列表但不清换机计数 —— 那个数是"这码换过几次"的历史，
清掉会让"码是不是被到处传"失去唯一线索。要送额度请用「补换机额度」。
变更类动作打到一个从来没记录过的流水号上会一个字节都不写
并回 no_record；真想预先封停一个还没激活过的码，在下面勾选"确认新建"。
结果
—
余量
| 套件 | 流水号 | 订单 | 发放时间 |
|---|---|---|---|
| 点上面的按钮加载。 | |||
发码（给某张订单）
同一个订单号重复调用会返回同一个码（幂等）—— 支付回调一定会重推， 所以这里不怕重复点。回出来的码就是给用户的那一串，抄走即可。
—
补货（把码放进池子）
一行一个完整短码（MP1-XXXX-XXXX-XXXX），最多 500 个。
服务端会逐个真验 HMAC：认不出的码不许进池子 ——
它一旦发出去，用户会看到"这个激活码没被认出来"，而那时钱已经收了。
KV 里只登记流水号、不存码原文，所以 KV 被读走也拿不到可用的码。
—
审计
破坏性动作是写前记录：先落一条 pending、再调上游、再回填结果。
审计写不进去时那个动作不会执行（fail-closed）——
因为审计的意义恰在出事那一刻，它不能自己先静默失效。
| 时间 | 谁 | 动作 | 输入 | 读成 | 读法 | 动作前有记录 | 结果 | HTTP |
|---|---|---|---|---|---|---|---|---|
| 点「刷新」加载。 | ||||||||
账本导出
服务端会把上游的分页答复翻完再合并；翻不完就不出文件 （交一份不完整的备份比不交更危险）。同一个流水号出现两次会报出来， 不静默去重 —— 重复本身就说明翻页逻辑可能坏了。
—
⚠️ 记录里的备注是自由文本，可能被人写进敏感信息。导出前先想一下这份文件要给谁。
喵盘后台 · 第一期（激活 / 换绑 / 封停 / 码池 / 健康 / 审计 / 账本）
服务端不持有任何签名私钥；审计写在独立的 D1 里，绝不占用激活端点的 KV 写额度。