四个 api 脚本的入参与返回，未配伪静态也能用真实文件名直接访问。
校验：POST /api/verify.php 带 code、domain；目录：GET /api/catalog.php?type=mb；更新：GET /api/latest.php?item=cms:1；下载：GET /api/download.php?lic=1&token=xxx（程序，凭授权码），或 GET /api/download.php?item=mb:1&uid=2&token=xxx（模板与插件，买断下载）。均返回 JSON，含 code=0 表示失败。