timing 只认 flag、pay-lab setTimeout 后仍标 afterPayCallback、checklist 静态、Mock CORS 未放行 x-lab-sign