目前为止检测到你的商户号还是有漏洞，请按照以下几点内容再仔细检查。

1、你更新的只是sdk的部分代码，没有完全更新，或者在SDK外还使用了XML的解析没有防XXE

2、你可能有多个回调地址，而你只修复了其中一个

3、你可能有多个服务器，你只发布了其中一台或者修改了没有正式发布

4、实际做xml解析的不是修改的地方

5、xml解析器和httpclient存在多个版本，有冲突，pom.xml可以查看jar版本号

功能限制是恢复不了的 无法恢复正常 只能更换 正常的主体商户 继续使用JSAPI 功能