เชื่อมต่อระบบชำระเงินของ Dev365TH เรียนออนไลน์

# 1) ดูสินค้าที่คุณลงทะเบียนไว้ (ยืนยันว่าโทเคนใช้ได้)
curl -s -H "Authorization: Bearer $TOKEN" \
  https://dev365th.com/api/v1/billing/skus

# 2) เช็คยอดเครดิตของผู้ใช้ ก่อนแสดงปุ่มซื้อ
curl -s -H "Authorization: Bearer $TOKEN" \
  "https://dev365th.com/api/v1/billing/balance?memberId=$MEMBER_ID"

# 3) ตัดเครดิต (Idempotency-Key กันหักซ้ำเวลาเน็ตหลุด)
curl -s -X POST https://dev365th.com/api/v1/billing/charge \
  -H "Authorization: Bearer $TOKEN" \
  -H "Content-Type: application/json" \
  -H "Idempotency-Key: order-1001" \
  -d '{"memberId":"'$MEMBER_ID'","sku":"sword_legendary","qty":1}'

# 4) ตรวจสิทธิ์ทุกครั้งที่ผู้ใช้จะใช้ของ (ห้ามเชื่อฝั่งเบราว์เซอร์)
curl -s -H "Authorization: Bearer $TOKEN" \
  "https://dev365th.com/api/v1/billing/entitlement?memberId=$MEMBER_ID&sku=sword_legendary"

// billing.js — เรียกจาก "เซิร์ฟเวอร์" ของคุณเท่านั้น ห้ามให้เบราว์เซอร์เห็นโทเคน
import { randomUUID } from 'node:crypto';

const BASE = 'https://dev365th.com/api/v1/billing';
const TOKEN = process.env.DEV365TH_BILLING_TOKEN;

async function call(path, { method = 'GET', body, idemKey } = {}) {
  const headers = { Authorization: `Bearer ${TOKEN}` };
  if (body) headers['Content-Type'] = 'application/json';
  if (idemKey) headers['Idempotency-Key'] = idemKey;

  const res = await fetch(BASE + path, {
    method,
    headers,
    body: body ? JSON.stringify(body) : undefined,
  });

  // เว็บอาจตอบ HTML ได้ (เช่น 503 ตอนปิดปรับปรุง) → กัน JSON.parse พังทั้งระบบ
  const text = await res.text();
  let data = null;
  try { data = JSON.parse(text); } catch { /* ไม่ใช่ JSON */ }

  if (!res.ok) {
    const err = new Error(data?.error?.message || text.slice(0, 200));
    err.code = data?.error?.code || `http_${res.status}`;
    err.status = res.status;
    throw err;
  }
  return data;
}

export const listSkus    = ()                   => call('/skus');
export const getBalance  = (memberId)           => call(`/balance?memberId=${memberId}`);
export const getEntitlement = (memberId, sku)   => call(`/entitlement?memberId=${memberId}&sku=${sku}`);
export const refund      = (chargeId)           => call('/refund', { method: 'POST', body: { chargeId } });

export const charge = (memberId, sku, qty = 1, idemKey = randomUUID()) =>
  call('/charge', { method: 'POST', body: { memberId, sku, qty }, idemKey });

export const reportUsage = (memberId, sku, qty, idemKey) =>
  call('/usage', { method: 'POST', body: { memberId, sku, qty }, idemKey });

// ตัวอย่างจริง: ผู้เล่นกดซื้อดาบในเกม
import { charge, getEntitlement } from './billing.js';

app.post('/shop/buy', async (req, res) => {
  const { memberId } = req.session;          // ผู้ใช้ที่ล็อกอินในเกมของคุณ
  const { sku, orderId } = req.body;

  try {
    // ★ orderId ของคุณเป็น Idempotency-Key ที่ดีที่สุด — ผู้เล่นกดปุ่มรัว
    //   หรือเน็ตหลุดแล้ว retry ก็จะหักเงินครั้งเดียว
    const r = await charge(memberId, sku, 1, `order-${orderId}`);

    if (r.replayed) {
      // คำขอนี้เคยสำเร็จแล้ว (ไม่ได้หักเงินใหม่) — ปล่อยของได้เลยถ้ายังไม่ปล่อย
      console.log('คำขอซ้ำ ใช้ผลเดิม', r.chargeId);
    }
    await giveItemToPlayer(memberId, sku);    // ระบบของคุณ
    return res.json({ ok: true, balance: r.balance });

  } catch (e) {
    if (e.status === 402) {
      // เครดิตไม่พอ — พาไปเติมที่เว็บ แล้วกลับมาซื้อต่อ
      return res.status(402).json({
        error: 'เครดิตไม่พอ',
        topupUrl: 'https://dev365th.com/credits',
      });
    }
    if (e.code === 'sku_inactive') return res.status(409).json({ error: 'สินค้านี้ปิดขายชั่วคราว' });
    throw e;
  }
});

// ★ ตรวจสิทธิ์ "ทุกครั้ง" ที่ผู้เล่นจะใช้ของ ไม่ใช่เชื่อ state ในเบราว์เซอร์
app.get('/play/use-sword', async (req, res) => {
  const ent = await getEntitlement(req.session.memberId, 'sword_legendary');
  if (!ent.has) {
    return res.status(403).json({
      error: ent.expired ? 'สิทธิ์หมดอายุแล้ว' : 'ยังไม่ได้ซื้อไอเทมนี้',
    });
  }
  // ปล่อยให้ใช้ได้
});

{ "error": { "code": "insufficient", "message": "เครดิตไม่พอ …" } }