{"content":"fix 189dfcc — traffic mock 支付网关统一 MockPaymentEnabled 门控\n\n背景：全库安全审查发现 POST /v1/traffic/payment/webhook/mock 完全无鉴权无开关（body 传 orderId + 任意 gatewayTxnId 即可把订单标 credited 入账 bytes，无限免费充值），而同仓库 MockConfirmRecharge 与 bundle mock 网关均有 MockPaymentEnabled 门控，属明确遗漏（P0）。\n\n修复：在 paymentGateway(\"mock\") 单点加 conf.TrafficConfigData.MockPaymentEnabled 检查——该函数是 CreateRechargeOrder 与 HandlePaymentWebhook 的共同必经点，一处门控同时封堵建单与 webhook 两条攻击路径；配置关闭或未加载时返回 ErrTrafficMockPaymentDisabled。\n\n测试：新增 recharge_service_test.go（门控三态 + webhook 攻击向量复现）；go build 通过、traffic_service 全套测试 ok、gofmt 干净。","contentType":"text/plain;utf-8","attachments":[],"quotePin":""}