源码系统概览
文章正文
星球盲盒系统源码是一套前后端分离的盲盒抽取与回收兑换平台源码，前端 uniapp 加后台 vue 加 PHP 服务端，版本口径 v2026.9.0，来自盘石源码转载分发。
平台覆盖盲盒抽取、奖品回收、积分兑换、充值返佣与代理推广等玩法，本包经审查存在严重资金漏洞与资金盘式机制，仅供安全研究。
源码简介
包以压缩包合集形式提供约 520MB，含服务端、后台 vue、前端 uniapp 与注册页四部分加 18MB 数据库脚本，服务端 PHP 全明文。
业务模块覆盖商品与奖池管理、支付回调、余额体系、回收价计算与推广两级返佣，后台概率与价格参数均可配置，四端代码独立成包且服务端无加密。
原作者信息未署名，欢迎研究者反馈问题并贡献研究结论。
适用场景
安全研究人员可将其作为资金链路缺陷的集中样本，回调不验签、免鉴权接口、注入与上传漏洞在同一个包内成链。
风控研究者可分析其概率回血机制的设计，理解盲盒类玩法的合规风险点。
再次强调，本包含可直接利用的严重漏洞，禁止任何联网部署。
技术栈与运行环境
服务端为 PHP 加 MySQL 架构，后台 vue 与前端 uniapp 需各自构建，支付对接微信与支付宝通道。
工程最后更新 2026 年，更新日志随分发说明维护，运行环境按服务端说明配置。
功能亮点
核心卖点包括。
- 盲盒抽取玩法，多奖池多档位概率配置与开盒动画
- 奖品回收体系，抽中奖品按折扣价回收为余额
- 积分兑换，兑换商城与积分任务联动
- 两级返佣，充值推广与代理分佣自动结算
- 三端分离，uniapp 加 vue 加 PHP 各端独立演进
对比，区别 vs TCGplayer 和 Whatnot 这类海外收藏品交易平台，本系统的区别在于盲盒概率玩法与回收定价更偏娱乐化设计，交易可信度与合规度则海外平台更成熟，其玩法机制可作为反面教材参考替代。
| 能力 | 本系统 | TCGplayer | Whatnot |
|---|---|---|---|
| 玩法形态 | 盲盒加回收 | 卡牌市场 | 直播竞拍 |
| 定价机制 | 后台可控概率 | 市场定价 | 拍卖定价 |
| 合规风险 | 高 | 低 | 低 |
技术架构与部署指南
安装与部署提示
本包存在可直接利用的严重漏洞链，不提供常规部署指引，研究须在物理隔离环境断网进行。
若仅分析代码结构，可将各端导入静态分析工具按模块阅读，工程最后更新 2026 年，更新日志随分发说明维护。
截图与演示说明
来源页提供了两张界面截图，已随文附上，展示盲盒前台与开盒结果的实际效果，界面为典型的盲盒电商风格，研究时可对照截图定位对应模块代码，截图中的商品与奖品仅为演示数据，实际概率配置以数据库脚本内容为准。
常见问题
问. 星球盲盒系统源码是什么项目
一套前后端分离的盲盒抽取与回收兑换平台源码，uniapp 加 vue 加 PHP 三端，含充值返佣玩法。
问. 为什么说它是资金盘式机制
服务端内置连败回血池强制必中逻辑，概率五档与回收价均后台可调，具备操纵用户盈亏的产品特征。
问. 和 TCGplayer 这类平台有什么区别
它以概率抽取加回收定价为核心玩法，TCGplayer 以市场自由定价交易为核心，合规性差异巨大。
问. 漏洞严重到什么程度
存在免鉴权余额改写接口与上传漏洞组成的完整攻击链，叠加回调不验签，等于资金可被任意划转。
安全风险提示
审查结论为极高风险，支付回调三处均不校验签名，伪造请求即可充值到账并自动发放返佣，另存在免鉴权余额改写接口且拼接式查询存在注入。
上传接口以原始文件名落盘且可被未鉴权调用，配合越权取凭证接口可组成完整远程代码执行链，包内另残留多把支付私钥与弱值支付密钥。
盲盒概率内置连败回血池强制必中机制，回收价与概率后台任意可调，全部资金操作无事务无锁，数据库残留提现人真实隐私信息。
本项目仅供安全研究与教学分析，未附带 MIT、Apache 这类开源许可证，严禁部署上线或用于任何资金场景。
下载说明
网盘包含四端压缩包与数据库脚本，仅供隔离环境安全研究，研究前阅读风险节，切勿联网部署或尝试其中的支付通道。
