查看订单是API、网页还是移动端来源。
按定义不应具备交易权限，但订单可能来自其他入口。
结合订单来源字段、请求日志和账户会话排查。
逐个检查相关密钥的交易权限和绑定账户。
用订单编号和时间匹配本地程序记录，勿公开密钥。