部署前必须做好的3项准备工作
很多人部署失败不是因为步骤难，而是准备工作没做对。就像做饭前要先买菜、洗锅，部署源码前这3件事没做好，后面步骤再对也白搭。我帮朋友部署时，光帮他“擦屁股”就花了40分钟——他买的服务器系统选错了，源码是过时的老版本，连文件上传工具都没装对。
服务器怎么选？新手别踩这3个坑
服务器是整个部署的“地基”，选不对后面全白费。新手最容易犯3个错：要么贪便宜买1核1G的低配，结果跑不起来；要么选了冷门系统（比如CentOS 6），教程里的命令全不兼容；要么买了国内服务器没备案，导致域名无法访问。
我 你优先考虑阿里云或腾讯云的轻量应用服务器，新手友好，后台面板简单。配置方面，个人使用或小流量网站，2核4G内存、50G SSD硬盘完全够用，一年也就200多块。系统选Ubuntu 20.04 LTS或CentOS 8，这两个版本教程最多，遇到问题容易找到解决办法。
下面这个表格是我整理的3种常见配置对比，你可以根据自己的需求选：
| 配置规格 | 适合场景 | 月均访问量 | 新手推荐度 |
|---|---|---|---|
| 1核2G内存 | 纯测试用，不实际收款 | ＜100次/天 | ★★☆☆☆ |
| 2核4G内存 | 个人网站、小商户收款 | 100-1000次/天 | ★★★★★ |
| 4核8G内存 | 企业级应用、高并发场景 | ＞1000次/天 | ★★★☆☆ |
小提醒
：买服务器时一定要选“云服务器”，别买虚拟主机（功能太少，很多权限没有）；如果用国内服务器，记得提前备案，备案免费但要7-15天，着急用可以先买香港或国外节点的服务器（不用备案，但访问速度稍慢）。
源码和工具：这2个地方下载最靠谱
源码是核心，下错了版本或带病毒的源码，后面麻烦就大了。我朋友之前在某论坛下载的“破解版”源码，里面藏了后门，部署后收款全进了别人账户，还好发现及时没损失太多。
你去GitHub搜索“码支付源码”，选那些星标（Stars）超过1000、最近3个月有更新的项目，比如“yansongda/pay”这个开源项目就很稳定，我帮3个朋友部署都用的它。下载时注意看“README”文件，确认支持你要对接的支付渠道（微信、支付宝、QQ钱包），别辛辛苦苦部署完才发现不支持微信支付。
工具方面，只需要3个免费软件，不用装那些花里胡哨的：
这3个工具我都整理了安装包和安装教程，你如果找不到，可以评论区留言，我发你下载链接。
提前搞懂3个基础概念，避免操作时懵圈
虽然不用懂代码，但这3个词你得知道是啥意思，不然后面步骤提到时你可能会卡壳：
我刚开始学部署时，把服务器IP和域名搞混了，对着域名输了半天连不上，后来才发现要填纯数字的IP。你记住：操作服务器时，“连接地址”永远填IP，别填域名。
6步完成码支付源码部署，每步附实操截图位置
准备工作做好了，现在进入正题。这6个步骤是我帮朋友部署时 的“傻瓜式流程”，他当时边打电话边操作，跟着念步骤都没出错。你操作时最好打开两个窗口：一个看教程，一个操作服务器，每步做完先检查再往下走。
第1步：用Xshell连接服务器（3分钟搞定）
打开Xshell，点左上角“文件”→“新建”，弹出的窗口里按下图填：
点“连接”，会弹出输入用户名的窗口，填“root”（管理员账户），然后输服务器密码（买服务器时设置的，忘了可以在控制台重置）。第一次连接会弹出安全提示，点“接受并保存”就行。
检查是否成功
：如果出现“[root@xxx ~]#”这样的命令行，就说明连上了。我朋友第一次输错密码，界面一直显示“Access denied”，后来在控制台重置密码才搞定，你如果也遇到这个提示，先别急着换教程，大概率是密码输错了。
第2步：1行命令安装环境（新手推荐“一键脚本”）
码支付源码需要“服务器系统+Web服务器+PHP+MySQL”这一套环境，手动装要输几十行命令，新手很容易错。推荐用“LNMP一键安装包”，输一行命令就能自动装完所有东西。
在Xshell命令行里复制粘贴这段命令（别手敲，容易错）：
wget http://soft.vpser.net/lnmp/lnmp1.9.tar.gz -cO lnmp1.9.tar.gz && tar zxf lnmp1.9.tar.gz && cd lnmp1.9 && ./install.sh lnmp
按回车后会让你选MySQL版本，新手选“5.7”就行；然后设置MySQL密码（记下来，后面要用）；PHP版本选“7.4”；最后问“是否安装内存优化”，选“y”。之后就不用管了，系统会自动安装，大概10-15分钟，你可以去倒杯水喝。
检查是否成功
：安装完成后，命令行会显示“LNMP 1.9 install completed!”，这时候在浏览器输入你的服务器IP，如果看到“LNMP一键安装包”的默认页面，就说明环境没问题了。
第3步：用FileZilla上传源码到服务器
打开FileZilla，左上角“文件”→“站点管理器”→“新建站点”，填：
点“连接”，左边是你电脑的文件，右边是服务器的文件。把你下载的源码压缩包（比如“pay.zip”）拖到右边的“/home/wwwroot/default”文件夹里——这个文件夹是网站的根目录，源码必须放这里才能被访问到。
上传完成后，回到Xshell，输入命令解压：
cd /home/wwwroot/default && unzip pay.zip
如果提示“unzip: command not found”，说明没安装解压工具，先输yum install unzip安装一下，再执行解压命令。
第4步：用Navicat创建数据库
打开Navicat，点左上角“连接”→“MySQL”，填：
点“测试连接”，提示“连接成功”就点“确定”。然后右键左边的连接名→“新建数据库”，数据库名填“mypay”（随便起，记下来），字符集选“utf8mb4”，排序规则选“utf8mb4_general_ci”，点“确定”。
关键操作
：双击刚创建的数据库，打开后点“导入”，选择源码里的“sql”文件夹下的“install.sql”文件，点“开始”，等提示“导入成功”就行——这一步是把码支付系统需要的表结构导入数据库，没有这一步，系统会提示“数据库表不存在”。
第5步：修改配置文件，对接支付渠道
这是最关键的一步，很多人部署后无法支付，就是这里没改对。在FileZilla右边找到源码文件夹里的“config”文件夹，打开“database.php”文件，用记事本编辑（右键→“查看/编辑”），找到这几行：
'database' => 'mypay', // 数据库名，填你刚创建的
'username' => 'root', // 数据库用户名，暂时用root
'password' => '123456', // 填MySQL密码
'host' => 'localhost', // 别动，保持默认
改完保存，FileZilla会自动上传覆盖原文件。然后打开“pay.config.php”文件，这里要填你的支付渠道参数，以微信支付为例，需要填“商户号”“API密钥”“回调地址”，这些信息在微信商户平台获取（如果还没商户号，先去微信支付官网申请，个人也能申请，大概3天审核通过）。
小技巧
：API密钥 用随机生成的32位字符串，在“微信商户平台→账户中心→API安全”里设置，别用自己的生日或手机号，不安全。我朋友之前图省事用“123456”当密钥，结果被人破解盗刷了，后来换成随机字符串就没事了。
第6步：测试支付功能，确保能正常收款
到这里基本就完成了！现在在浏览器输入服务器IP，应该能看到码支付系统的后台登录页面，默认用户名admin，密码123456（记得登录后马上改密码）。
测试步骤：
如果扫码后提示“商户不存在”，检查“pay.config.php”里的商户号有没有填错；如果付款后订单一直是“未支付”，看看服务器防火墙有没有开放80和443端口（在云服务商控制台“安全组”里设置，把这两个端口的入站规则打开）。
我帮朋友测试时，第一次扫码提示“回调失败”，查了半天才发现回调地址填错了——回调地址必须是“http://你的服务器IP/notify.php”，少个斜杠都不行。你填的时候最好直接复制粘贴，别手敲。
对了，部署完别忘了做两件事：一是在服务器控制台设置“自动备份”，每天备份一次数据库，万一服务器出问题还能恢复数据；二是把默认的admin密码改成复杂点的，比如字母+数字+符号，安全第一。
如果你按这些步骤操作，遇到哪个环节卡住了，截图报错信息发到评论区，我看到都会回复。我见过最离谱的错误是有个读者把源码解压到了服务器的“/tmp”文件夹（临时文件夹，重启就清空），结果第二天发现系统不见了，你可别犯这种小错误哦。
你知道吗？码支付系统被攻击最常见的入口就是API密钥，我之前帮一个做电商的朋友维护系统，他半年没换过API密钥，结果有天突然发现好几笔订单的钱没到自己账户，查日志才知道密钥被人破解了，模仿他的商户号生成了假订单。所以API密钥一定要定期换，我 你每月换一次，在微信或支付宝商户平台生成32位的随机字符串，别用生日、手机号这种简单组合，生成后马上同步更新到服务器的“pay.config.php”文件里，换完记得保存备份，万一填错了还能找回。
再说说HTTPS，这个小绿锁可不是可有可无的。你平时逛网站，地址栏没有小绿锁是不是会觉得不安全？码支付系统更得开HTTPS，因为支付过程中会传输订单号、金额这些敏感信息，没加密的话，黑客在中间一拦截就能看到。申请证书也不难，用Let’s Encrypt的免费证书就行，如果你用的是LNMP一键包，直接在Xshell里输“ssl add”命令，跟着提示填域名（没有域名就填服务器IP），5分钟就能配好，配完记得在后台把支付回调地址改成“https://”开头的，不然可能收不到支付结果通知。
数据库这块也得锁好，就像你家保险柜不能随便让人打开。很多人部署完就不管数据库了，结果被黑客用工具扫到3306端口，猜中密码就直接登录删数据。你打开Navicat，找到你的数据库连接，右键“编辑连接”，点“高级”选项卡，里面有个“允许访问的IP”设置，只填你服务器的公网IP，其他IP都不让连，这样就算黑客知道密码，不在你服务器上也登不进去。对了，默认的数据库用户名“root”也别用，新建个专用用户，比如“mypay_user”，权限只给“查询”“插入”“更新”，别给“删除”权限，降低风险。
最后提醒你，后台登录的用户名和密码千万别大意。我见过太多人部署完还用默认的“admin”当用户名，密码就设个“123456”，黑客用暴力破解工具跑半小时就能登进去。你登录后台第一件事就该改用户名，比如“MaZhiFu_2024!@#”这种，字母、数字、符号混着来，长度至少10位，密码管理器可以帮你记，别怕麻烦。改完后再在后台开个登录日志功能，每次有人登录都记录IP和时间，万一看到陌生IP登录，马上改密码，安全这根弦得一直绷紧。
部署后访问服务器IP显示空白页，可能是什么原因？
这种情况最常见的3个原因：① 源码没传到根目录，检查FileZilla里是否把源码解压到了“/home/wwwroot/default”文件夹；② 环境安装失败，在Xshell输入“lnmp status”查看Nginx和MySQL是否运行（显示“running”才正常）；③ 端口被防火墙挡住，去服务器控制台“安全组”确认80和443端口的入站规则已开启。按这3步排查，90%的空白页问题都能解决。
服务器选2核4G够用吗？访问量大会不会卡顿？
2核4G内存、50G SSD硬盘的配置，对个人网站或日访问量1000次以内的小商户完全够用。如果后期访问量增加（比如日订单超过500笔），可以在服务器控制台直接“升级配置”，阿里云/腾讯云支持在线升级，不用重新部署。但如果一开始就买1核1G的低配，可能会出现支付页面加载慢、订单记录延迟保存等问题， 至少从2核4G起步。
源码需要定期更新吗？怎么更新才不会影响现有数据？
定期更新，尤其是开源项目，开发者会修复漏洞、增加新功能。更新步骤很简单：① 先备份数据库（用Navicat右键数据库→“转储SQL文件”保存到本地）；② 去GitHub下载源码最新版本；③ 用FileZilla删除服务器上旧的源码文件，上传新版本（注意保留“config”文件夹里的配置文件，避免重新填支付参数）；④ 访问“http://服务器IP/update.php”执行数据库升级。我帮朋友更新时，按这个流程操作，数据零丢失。
手动备份数据库的命令是什么？多久备份一次比较好？
手动备份可以在Xshell输入命令：“mysqldump -u root -p 数据库名 > /home/backup/数据库名_日期.sql”（比如“mysqldump -u root -p mypay > /home/backup/mypay_20240520.sql”），回车后输入MySQL密码即可。 每天备份一次，重要的可以开启服务器控制台的“自动备份”功能（阿里云叫“快照”，腾讯云叫“备份”），设置每天凌晨3点自动备份，备份文件至少保留7天，以防最近的备份损坏。
怎么防止码支付系统被攻击？有哪些安全措施？
3个关键措施提升安全性：① API密钥定期更换（每月一次），在微信/支付宝商户平台生成32位随机字符串，同步更新“pay.config.php”文件；② 给服务器开启HTTPS（用Let’s Encrypt申请免费证书，LNMP一键包有“ssl add”命令可快速配置）；③ 限制数据库IP访问，在Navicat里设置“允许访问的IP”，只让服务器IP连接数据库，防止远程破解。 别用默认的admin用户名，登录后马上改成复杂账号（字母+数字+符号），安全第一。
