非托管边界
付款资金直接进入商户钱包；PayMe 不生成、不接收、不保存私钥和助记词。
减少信任面，而不是扩大托管面。
从非托管架构、最小权限到防篡改审计，PayMe 将资金控制权与平台运营权限清晰分离。
身份与最小权限
商户角色权限、项目级 API 范围、独立运营身份、双重验证与短时敏感操作授权。
职责分离
生产钱包、平台充值、账本调整和链回补由不同人员提议和批准，并且只能幂等执行一次。
数据保护
敏感联系方式与内部备注应用层加密；Token、API Key 和恢复码只保存不可逆哈希。
投递防护
Webhook 仅允许 HTTPS 公网目标，阻断私网/本机地址，签名、重试、死信与重放可审计。
恢复与证据
PostgreSQL 是事实源；队列可重建，链游标可回补，敏感读取和处置保留审计。
谁负责什么
PayMe订单识别、状态、投递、审计、服务账本和运营工具
商户钱包控制、商品/服务合法性、退款执行、税务与客户支持
付款者核对网络、币种、地址、金额与交易所提币规则
区块链/RPC公开账本、最终性、拥堵、重组和供应商可用性
安全报告
如发现安全问题，请通过已验证的工作区提交高优先级支持工单。请勿在任何工单或消息中发送私钥、助记词、API 密钥或其他敏感凭据。