为「小额高频 + 多站点 + 多参与方」而建
不是把 Stripe 的界面换成加密货币，而是按加密支付的物理事实重新设计：不可逆、链上事实唯一、Gas 有成本。
◈
一订单一地址
每个订单派生一次性地址，前端零 TxHash 录入。地址不复用，历史流水与 AML 污染天然隔离。
⚖
复式记账，余额是求和
分录 append-only，数据库触发器禁改禁删。任何时刻借方合计等于贷方合计，余额永不是可写字段。
⇄
独立对账，不复用业务代码
独立进程、独立 RPC、独立口径重算链上余额，与分录求和比对。差异分级告警，P0 自动冻结出款。
⚡
秒级体验，但不提前发货
mempool 预检出只更新界面，达确认数才记账。体验与资金安全是两件事，不混在一处实现。
🧩
渠道可插拔
链上直收 / 聚合网关 / 交易所 Pay 共用 ChannelAdapter 契约，订单与账本层不认识任何链。
🛡
绝不吞币
少付、多付、错链、逾期、重复支付五条分支都有自动化归宿；地址监听长于订单 72 小时。
分层与边界
模块化单体优先：支付的核心是跨模块强一致事务，拆微服务只会引入分布式事务的额外负担。仅监听器与归集器独立进程。
接入层
收银台无状态 · 严 CSP
商户 APIHMAC + 时间窗 + nonce
控制台角色权限 · 审计
编排层
支付编排Order / Intent / Attempt
路由决策成功率 · 成本 · 时延
领域层
商户与应用
订单与报价
地址与钱包
账本
分账与结算
风控
渠道层
链上直收Rail A · EVM / Tron
聚合网关Rail B · 非托管
交易所 PayRail C · 预留
基础设施
RPC 池
PostgreSQL / SQLite
Outbox 队列
KMS 与密钥分层
审计与指标
用数字说话
这些数字来自正在运行的本实例，不是市场宣传材料。