POST /v1/candy/orders(不付钱)→ 伪造 JWS(transactionId 自动生成 19 位数字)→
POST /orders/:id/verify。需线上 verifyReceipt 未升级验签(已升级则此通道失效,报"校验失败")。
POST /v1/invite-code/h5/redeem(无鉴权,随机 device_id)→ 每次成功 码主人 +100 糖、该 uid +100。
uid 池请填你自己控制的账号。需线上 h5/redeem 仍无鉴权。