AI 构建应用 · 安全接入
如何在 Lovable 或 Replit 中接入 Pix → 稳定币
请让智能体创建服务端函数，不要直接从浏览器调用金融 API。 密钥
lun_live_… 保存在后端机密变量中。前端仅调用您自己的函数，获取 Pix Copia e Cola 及经过脱敏的交易状态。LovableReplitSupabase Edge Function服务端机密变量当前 OpenAPI
适用架构
navegador
└─ POST /api/checkout-pix (sem chave Lunium)
└─ sua função de servidor
├─ lê LUNIUM_API_KEY do secret manager
├─ chama POST /cashin/preview
├─ chama POST /cashin/charge
└─ persiste external_id + cashin_id
Lunium ──webhook assinado──> sua função de webhook
└─ atualiza o pedido
可直接使用的智能体提示词
Adicione checkout PIX com liquidação em USDT/USDC usando https://api.luniumpay.com/openapi.json como contrato. Regras obrigatórias: 1. Toda chamada com X-API-Key deve acontecer no servidor. 2. Guarde LUNIUM_API_KEY somente no secret manager. 3. Nunca envie a chave ao browser, console, URL ou analytics. 4. Antes da cobrança, consulte /cashin/limits para o pagador. 5. Use external_id estável por pedido e persista antes da chamada. 6. Trate delayed como PIX pago e retido, não como falha. 7. Valide assinatura e timestamp do webhook antes de processar. 8. Faça o consumidor do webhook idempotente. 9. Use consulta de status apenas para reconciliação. 10. Mostre o diff e os testes; não use chave real nos testes.
提示词不能替代生成代码的审查。请确认前端构建产物、HTTP 响应及日志均不包含密钥。
实现步骤
创建服务端函数
可使用 Edge Function、Server Action 或后端路由。仅提供静态前端的环境，无法安全保管金融 API 密钥。
设置机密变量
使用环境提供的密钥存储，变量名可为 LUNIUM_API_KEY；实际值不得提交至代码仓库。
实现幂等请求
在数据库生成并保存 external_id ，再调用 API。超时后重复使用同一值。
实现 webhook
读取原始请求体、验证签名，并确保同一状态变更仅应用一次。
先使用模拟资金测试，再核验生产配置
在测试环境完成对应流程，覆盖 cash-in、cash-out 及适用模拟场景。真实试点须使用已授权的金额及收款人，并遵守路由和付款人最低金额要求；完成对账后再逐步扩大业务量。
密钥泄露检查清单
前端构建产物
在生成文件中搜索 lun_live_ ，结果应为零。
网络
浏览器只调用您自己的后端，不能持有密钥直接调用 Lunium。
日志
仅记录 request_id 及交易 ID，不记录敏感请求头或 payload。
Git
机密变量及本地配置文件已被版本控制忽略，发布前运行密钥扫描。
让智能体从当前接口契约开始
打开快速开始，复制提示词，先要求实现测试环境。请求架构审查时，仅提供已移除密钥的代码差异。