客户门户与分享

客户门户是 Invotify 的客户端界面——您的客户无需创建账户即可查看和操作的所有内容。您生成一个安全的分享链接，发送给客户，他们即可打开一个简洁的品牌页面，阅读发票、下载 PDF，以及（在 Pro 套餐中）在线付款。与此同时，您会收到一份关于他们何时何地打开链接的静默记录。

门户的功能：

• 公开发票视图 — 基于令牌的链接在浏览器中打开发票。客户无需登录、无需密码，零阻力。
• PDF 下载 — 客户一键下载其发票的像素级完美 A4 PDF。
• 在线付款（Pro） — "立即付款"按钮将客户带到安全的 Stripe 结账页面，支持全额或部分付款。
• 查看追踪 — 每次打开都有记录：时间、来源、查看次数以及首次/最近查看时间戳。
• 邮件偏好 — 一键退订，以及对客户接收哪些邮件的精细控制。

两种链接类型：

• 单张发票链接（/invoice/{token}）— 显示一张特定发票的完整详情，带下载/付款操作。
• 客户门户链接（/portal/{token}）— 客户近期发票的统一视图，显示其总未结余额、逾期标志、贷项通知单余额，每张发票都有自己的付款操作。

套餐： 公开查看、PDF 下载、查看追踪和邮件偏好管理在所有套餐中均可用。从门户在线付款需要 Pro 套餐并连接 Stripe。

每个门户页面都带有您的企业名称和标志，底部有"由 Invotify 提供支持"的低调注脚，并设置了 noindex，不会出现在搜索引擎中。

分享发票会创建一个唯一的、难以猜测的分享令牌，并将其转化为客户无需登录即可打开的公开链接。令牌是一个随机 UUID——无法通过递增数字来猜测——且唯一对应一张发票。

分享令牌的工作方式：

• 生成链接会为发票创建一个 share_token，并返回形如 https://your-app/invoice/{token} 的 URL。
• 如果该发票已有令牌，Invotify 返回同一个——再次分享不会更换链接或破坏您已发送的 URL。
• 链接是唯一的凭据。任何拥有它的人都可以查看发票，因此请像对待私人链接一样对待它。
• 您可以随时撤销分享链接。撤销会清除令牌，旧 URL 立即失效（返回"未找到"）。生成新链接以重新分享。

权限： 生成或撤销分享链接需要"管理发票"权限，因此只有授权的团队成员才能公开发票。

客户收到的内容： 当您通过邮件发送发票时，链接（以及在 Pro 套餐中，付款链接）可以随邮件一起发送。您也可以复制分享 URL 并通过任何渠道发送——聊天、您自己的邮件客户端、消息应用。

将 PDF 分享到 WhatsApp、Telegram、Slack 等： 发票和报价单上的"分享"对话框将渲染的 PDF 直接交给您设备的分享菜单（在手机、平板和现代桌面浏览器上）。点击 WhatsApp、Telegram、Slack 或 Messenger，PDF 已附带——选择收件人发送即可。在不支持分享菜单文件功能的浏览器上，Invotify 退而求其次，下载 PDF 并打开应用，让您手动附加。

当客户打开分享链接时，他们会进入一个干净、适配移动端且无需登录的页面。根据链接类型有两种体验。

单张发票页面（`/invoice/{token}`）： 客户看到完整发票——您的企业名称和标志、发票编号和状态、开具和到期日期、账单详情、每个行项目的数量和总额，以及您添加的任何备注。底部是操作区域： - 下载 PDF — 生成并下载专业的 A4 PDF，与您发送的版本完全相同。按需在服务器端生成。 - 立即付款 — 仅当付款链接可用且发票尚未付款或取消时显示（Pro——请参阅下方在线付款）。

统一门户页面（`/portal/{token}`）： 为客户提供跨所有发票的仪表板式概览： - 未结余额 — 所有未付款发票的总欠款（不只是他们点击的那张），如有逾期则显示标志。 - 贷项通知单余额 — 已开具或应用的任何贷项。 - 发票列表 — 其近期非草稿发票，分页显示，每张显示编号、日期、状态、金额和付款操作。

隐私设计： 门户只返回安全的数据子集。内部 ID、分享令牌本身以及与该客户无关的任何内容都从响应中剥离。统一门户严格限定于令牌所属的一名客户。门户响应以 no-store 缓存标头发送，确保敏感内容不被中间代理缓存。

在连接了 Stripe 的 Pro 套餐中，门户将查看变为付款。客户点击"立即付款"，进入 Stripe 的安全托管结账——Invotify 从不接触其卡片详情。

门户付款流程： 1. 客户打开其发票或统一门户，点击付款。 2. Invotify 为该发票创建 Stripe Checkout 会话，并将客户重定向到该页面。 3. 客户在 Stripe 的托管页面付款。其邮箱已预填以加快结账。 4. 成功后返回确认页面；如果取消，优雅地返回原来的页面。 5. Stripe 确认付款，发票状态自动更新为已付款。

全额或部分付款： - 默认情况下，客户支付全部未结余额（应付金额，而非原始总额——因此之前的部分付款已被计入）。 - 如果您在发票上启用了部分付款，客户可以支付较少金额。Invotify 执行您设置的任何最低付款金额，并且绝不允许客户支付超过未结金额的款项。

内置安全保障： - 已付款或已取消的发票无法再次付款——付款按钮隐藏，请求在服务器端被拒绝。 - 门户付款端点有速率限制以防止滥用。 - 付款金额在创建会话前会根据实时未结余额和 Stripe 最低收费进行验证。

重要： 在线付款需要 Pro 套餐和已连接的 Stripe 账户。未连接 Stripe 时，门户仍支持查看和下载——只是没有付款按钮。

不再猜测客户是否真的打开了发票。每次分享的发票被查看时，Invotify 都会记录——让您确切知道他们何时看到了、看了多少次以及从哪里看的。

每次查看记录的内容： - 时间戳 — 查看发生的时间。 - 来源 — 查看来自哪里：link（分享的单张发票链接）、email、portal 或 api。默认为 link。 - 查看者 IP — 客户的 IP 地址（从转发标头解析），便于区分同一地点的重复打开和新的打开。 - 用户代理 — 浏览器/设备字符串，截断至安全长度。

Invotify 为每张发票保留的汇总统计： - 查看次数 — 打开的累计总数。 - 首次查看时间 — 发票首次被打开的确切时间（记录一次，永不覆盖）。 - 最近查看时间 — 最近一次打开。 - 唯一 IP — 查看过该发票的不同 IP 地址数量。

查看位置： 发票的查看统计显示在发票详情页——一个紧凑的徽章显示查看次数，悬停时显示首次和最近查看的时间戳，发票最近被打开时显示实时指示器。完整查看日志（每次打开的来源、IP 和用户代理）可通过发票的查看数据访问，限定于您的公司范围。

防滥用： 追踪端点按 IP 和令牌进行速率限制，因此单一客户反复刷新无法虚增您的查看次数，端点也无法被恶意刷量。

Invotify 发送给客户的每封邮件都附带退订/偏好链接，让客户始终掌控其收件箱。该链接无需登录——退订令牌本身证明了邮箱地址的所有权。

客户可控制的内容： - 文件邮件 — 发送给他们的发票、报价单和其他文件。 - 提醒邮件 — 逾期和即将到期的付款提醒。 - 营销邮件 — 任何促销或公告消息。

每个类别都是独立的开/关切换。只想收到发票而不想收到提醒的客户可以精确设置——不是全部接受或全部拒绝。

一键退订： 偏好页面与任何邮件中的退订链接是同一个界面。客户可以关闭单个类别，或一键退订所有内容。更改立即生效，适用于未来的发送。

安全保障： - 偏好端点需要有效令牌（太短或缺失则拒绝），仅凭该令牌即可授权读取和更新偏好——无需账户。 - 只接受已知的允许偏好键，且只接受布尔值，因此端点无法被强制修改其他任何内容。 - 读写均按 IP 进行速率限制。

遵守这些偏好可以保持您的发送声誉健康，并让您符合反垃圾邮件规则——选择退订的客户只是停止接收该类别的邮件。