为什么做这个插件

做国内业务的主机商，实名认证不是可选项。备案要实名、云服务器开特定端口要实名、出了纠纷要能对得上人。可 WHMCS 原生没有这一块，多数同行的做法是让客户把身份证拍照发工单，客服在工单里肉眼比对，再手动去数据库里改个标记。

这样做有三个问题：证件照散落在工单附件里，谁都能翻；审核结果没有统一状态，客服换人就断档；客户提交完不知道自己到底过没过，只能反复催。

这个插件把整条链路收进后台：客户在会员中心提交，管理端有统一的审核队列，每一次通过、驳回、重置都留操作日志，敏感号码在列表里脱敏显示。专业版再往前一步——接支付宝刷脸，客户在手机上几秒完成，结果直接落为终态，根本不需要人工审核。

它能做什么

三条人工审核线，覆盖常规资料

身份证、护照、企业三种认证并列，各自可以在后台单独开关。身份证认证可选要求上传手持证件照；企业认证收营业执照、统一社会信用代码、法人证件正反面。客户提交后进入待审核，管理端在一个列表里看全部。

审核页把该看的都摆在一起

点开一条记录，认证类型、提交时间、姓名、证件号、各张证件照按标签排好，底部就是通过和驳回两个按钮。驳回时可以选常见理由（资料不一致、证照不清晰、三要素不符），也可以自己写；驳回会把原先上传的证件照清掉，让客户重新传，避免旧图和新资料混在一起。

每一次操作都留痕

谁在什么时候把哪个客户审过、驳回过、重置过，全部写进操作日志。客服换班、客户来问「我上周明明提交了」的时候，翻这一页就有答案。

客户那一侧尽量少问

会员中心里是一组认证方式卡片，每张写清楚需要什么材料、大概多久出结果，已完成的显示状态、没开的不显示。可以开「强制实名」，未认证的客户访问其他页面时被引导过来；也可以要求先完成手机验证再提交。

支付宝刷脸一键实名（专业版）

填姓名和身份证号，跳转到支付宝完成刷脸，结果实时返回，通过即终态，不进人工队列。移动端唤起支付宝 App，PC 端出二维码；万一没有自动跳回，页面上有「我已完成认证」兜底按钮。

实现上没有引入支付宝官方 SDK，只用 PHP 自带的 openssl_sign / openssl_verify 和 curl 自包含实现 RSA2 签名——包更小，不和你站上其他插件的依赖打架。限流是硬的：同一用户 10 分钟内最多发起 3 次、单日 5 次；发起要求 POST 加 CSRF token；回跳时校验流水归属，跨账号直接拒绝。

装上就能用，升级不丢数据

数据表在激活时自动创建，并且在每个入口点惰性自愈——升级了插件但忘了重新激活，也不会出现「表不存在」。停用插件不删表，历史认证记录和日志都留着，重新启用即恢复。后台界面三语言（简体中文 / 繁体中文 / English），跟随管理员和客户各自的语言设置。

适用场景

• 国内主机商、云服务器代理：备案与开端口前必须核验真实身份
• 面向企业客户的服务商：需要区分个人与企业主体，留存营业执照
• 已经在用工单收证件照的站点：把散落的证件照收进有权限、有日志的统一入口
• 想降低人工审核量的站点：开专业版的支付宝刷脸，大部分个人客户自助秒过

安装与使用

1. 从商城下载 ZIP，解压后把 modules/addons/authentication/ 上传到 WHMCS 根目录，保持目录结构。
2. 后台 → 系统设置 → 插件模块 → 找到「实名认证」→ 激活，数据表自动创建。
3. 打开模块设置，填入授权密钥，按需开启身份证 / 护照 / 企业三条认证线。
4. 专业版：在同一页填写支付宝 APPID、应用私钥、支付宝公钥，开启「支付宝一键认证」。
5. 确认模块目录下的上传目录可写（存放人工审核的证件照）。

常见问题

免费版能用到什么程度？ 三条人工审核线、后台审核队列与操作日志、强制实名、手机验证前置、号码脱敏，全部可用。专业版增加的是支付宝刷脸一键实名和它的调用日志与当日统计。

证件照存在哪里？会不会被人直接访问？ 存在模块外的独立目录，通过插件路由带鉴权输出，并且明确禁止中间层缓存。后台列表里的身份证号只显示前四后四，中间打码。

支付宝刷脸需要什么资质？ 需要在蚂蚁开放平台创建应用并开通实名认证相关产品，拿到 APPID 与密钥对。这是支付宝侧的商户资质，和本插件无关。

升级会不会覆盖已有数据？ 不会。认证记录、日志、支付宝流水都在独立数据表里，升级只替换代码文件。