aaden-cli 1.6.109-rc.0 → 1.6.110

package/AadenDeploy/setDeviceId.sh

@@ -0,0 +1,130 @@
+#!/bin/bash
+# 设定本机设备号（= ERP 门店编号）。全新装机（aadensetup.sh）和镜像克隆来的机器改号都走这一个入口：
+#   aaden-cli set-device-id <号>
+#
+# 1. 先查云端：这个号是 ERP 里哪家店、是不是已经有收银机在用（checkDeviceId.sh），拦住撞号
+# 2. 写配置：没有 config.ini 时让后端 AutoSetup.php 按默认配置生成；已有时只改 [Device] 段和 config.json，其余配置原样保留
+# 3. 主机名 aadenXXXX，/etc/hosts 里只留一行（以前每次装机都往里追加一行）
+# 4. ngrok 隧道 ikXXXX / SSH 端口 10000+号，重启隧道；第一次装时下载 ngrok 并装成服务
+# 5. 马上上报一次，云端 ERP 门店列表的「机器」列随即显示就绪
+#
+# 退出码：0 成功；1 号不对或取消；2 写配置失败
+export PATH="/usr/local/bin:$PATH"
+DIR="$(cd "$(dirname "$0")" && pwd)"
+CONFIG_DIR=/var/www/html/Resource/config
+CONFIG_INI=$CONFIG_DIR/config.ini
+CONFIG_JSON=$CONFIG_DIR/config.json
+
+# 和 aaden-cli 其他地方一样用 -S 从 stdin 喂密码（aaden 不一定有免密 sudo）。
+# 注意：不能再往 sudoS 的命令里用管道喂内容——stdin 已经被密码占了，内容一律先写临时文件再 sudoS cp。
+sudoS() { echo "Innerken322." | sudo -S -p '' "$@"; }
+# 先把 sudo 凭据缓存上：后面调的 aaden-cli 子命令（fix-ngrok 等）里还有裸 sudo
+sudoS -v 2>/dev/null
+
+NEW_ID="$1"
+if [ -z "$NEW_ID" ]; then
+  read -r -p '设备号: ' NEW_ID
+fi
+NEW_ID=$(printf '%s' "$NEW_ID" | tr -d '[:space:]')
+if ! [[ "$NEW_ID" =~ ^[0-9]+$ ]]; then
+  echo "设备号必须是数字：'$NEW_ID'"
+  exit 1
+fi
+NEW_ID=$((10#$NEW_ID)) # 去掉前导零，和云端、ERP 编号一致
+NAME="IK$(printf '%04d' "$NEW_ID")"
+HOST="aaden$(printf '%04d' "$NEW_ID")" # 和 ngrok 的 ik 号一样补到 4 位：aaden0001、aaden1958
+
+ini_device_id() {
+  [ -f "$CONFIG_INI" ] || return
+  awk -F= '/^\[/ { s = $0 } s ~ /^\[Device\]/ && $1 ~ /^[ \t]*DeviceId[ \t]*$/ { gsub(/[ \t"\r]/, "", $2); print $2; exit }' "$CONFIG_INI"
+}
+OLD_ID=$(ini_device_id)
+
+if [ "$OLD_ID" = "$NEW_ID" ]; then
+  echo "本机已经是设备号 $NEW_ID，只重新应用主机名、ngrok 并上报"
+else
+  [ -n "$OLD_ID" ] && echo "本机原设备号：$OLD_ID → 改成 $NEW_ID"
+  bash "$DIR/checkDeviceId.sh" "$NEW_ID" || exit 1
+
+  # 已经启用 TSE 的机器改号：TSE 记录会挂到新号上。正常流程是先改号，再「清空数据、启用 TSE」
+  if [ -n "$OLD_ID" ] && grep -qiE '^[ \t]*TseEnabled[ \t]*=[ \t]*"?(true|1)"?[ \t]*$' "$CONFIG_INI"; then
+    echo "⚠ 本机已经启用 TSE（原设备号 $OLD_ID）。正常应该先改号，再清空数据、启用 TSE。"
+    answer=""
+    { exec 3</dev/tty; } 2>/dev/null && read -r -p "确定要改号请输入 yes：" answer <&3 2>/dev/tty
+    [ "$answer" = "yes" ] || { echo "已取消。"; exit 1; }
+  fi
+fi
+
+# ---------------------------------------------------------------- 配置
+if [ ! -f "$CONFIG_INI" ]; then
+  # 全新装机：后端按默认配置生成 config.ini / config.json（以 www-data 写，权限和以前一样）
+  curl -fsS -m 30 "http://localhost/PHP/AutoSetup.php?DeviceId=$NEW_ID" >/dev/null \
+    || { echo "调用 AutoSetup.php 失败（Apache/PHP 还没起来？）"; exit 2; }
+elif [ "$OLD_ID" != "$NEW_ID" ]; then
+  TMP=$(mktemp)
+  awk -v id="$NEW_ID" -v name="$NAME" '
+    function fill() {
+      if (!doneId) print "DeviceId = \"" id "\""
+      if (!doneName) print "DeviceName = \"" name "\""
+    }
+    /^\[/ {
+      if (inDev) fill()
+      inDev = ($0 ~ /^\[Device\][ \t\r]*$/)
+      if (inDev) seen = 1
+      print; next
+    }
+    inDev && /^[ \t]*DeviceId[ \t]*=/ { print "DeviceId = \"" id "\""; doneId = 1; next }
+    inDev && /^[ \t]*DeviceName[ \t]*=/ { print "DeviceName = \"" name "\""; doneName = 1; next }
+    { print }
+    END {
+      if (inDev) fill()
+      if (!seen) { print "[Device]"; print "DeviceId = \"" id "\""; print "DeviceName = \"" name "\"" }
+    }' "$CONFIG_INI" >"$TMP"
+  # cp 覆盖内容、保留原文件的属主和权限
+  sudoS cp "$TMP" "$CONFIG_INI" || { rm -f "$TMP"; echo "写 $CONFIG_INI 失败"; exit 2; }
+  printf '{"DeviceId":"%s","DeviceName":"%s"}' "$NEW_ID" "$NAME" >"$TMP"
+  sudoS cp "$TMP" "$CONFIG_JSON"
+  rm -f "$TMP"
+fi
+if [ "$(ini_device_id)" != "$NEW_ID" ]; then
+  echo "写完配置后读到的设备号是「$(ini_device_id)」，不是 $NEW_ID"
+  exit 2
+fi
+echo "配置已写入：$CONFIG_INI → DeviceId = $NEW_ID"
+
+# ---------------------------------------------------------------- 主机名
+# 先写 /etc/hosts 再改主机名，否则改完的那一刻 sudo 会报 unable to resolve host
+TMP=$(mktemp)
+grep -vE '[[:space:]]aaden[0-9]+[[:space:]]*$' /etc/hosts >"$TMP"
+echo "127.0.1.1 $HOST" >>"$TMP"
+sudoS cp "$TMP" /etc/hosts
+rm -f "$TMP"
+# WSL 没有 systemd 时 hostnamectl 不可用，退回直接写 /etc/hostname
+if ! sudoS hostnamectl set-hostname "$HOST" 2>/dev/null; then
+  TMP=$(mktemp)
+  echo "$HOST" >"$TMP"
+  sudoS cp "$TMP" /etc/hostname && sudoS hostname "$HOST"
+  rm -f "$TMP"
+fi
+echo "主机名：$HOST"
+
+# ---------------------------------------------------------------- ngrok
+aaden-cli update-ngrok-config "$NEW_ID" >/dev/null
+if [ -f /etc/systemd/system/aaden-ngrok-v3.service ] && [ -x /etc/aaden/ngrok ]; then
+  sudoS systemctl restart aaden-ngrok-v3 2>/dev/null || sudoS service aaden-ngrok-v3 restart
+else
+  aaden-cli fix-ngrok # 第一次：下载 ngrok、装 systemd 服务
+fi
+echo "ngrok：ik$(printf '%04d' "$NEW_ID").ngrok.aaden.io，SSH 端口 $((10000 + NEW_ID))"
+
+# ---------------------------------------------------------------- 上报
+# do-log 连不上云端时退出码也是 0，所以回头问云端确认收到了没有
+aaden-cli do-log >/dev/null 2>&1
+MINUTES=$(curl -fsS -m 15 "${AADEN_CLOUD_URL:-https://cloud-v2.aaden.io}/deviceLog/install-check/$NEW_ID" 2>/dev/null \
+  | python3 -c 'import json, sys; m = json.load(sys.stdin).get("lastReportMinutesAgo"); print("" if m is None else m)' 2>/dev/null)
+if [ -n "$MINUTES" ] && [ "$MINUTES" -le 5 ]; then
+  echo "云端已收到本机上报，ERP 门店列表的「机器」列显示就绪"
+else
+  echo "⚠ 云端还没收到本机上报（网络不通？）。联网后每 5 分钟会自动上报一次"
+fi
+exit 0

package/README.md

@@ -28,7 +28,8 @@ Options:
 
 Commands:
   update [channel]
-  install [options] <deviceId> [channel]
+  install [options] <deviceId> [channel]   装机（= AadenDeploy/aadensetup.sh）：撞号检查、装软件、部署后端、设备号、自检并上报
+  set-device-id [deviceId]                 设定本机设备号：撞号检查、config.ini、主机名、ngrok、立即上报（镜像克隆的机器改号也用它）
   setup-wifi
   upgrade
   where

package/dist/index.js

@@ -250,6 +250,102 @@ function collectHostInfo() {
 module.exports = {collectHostInfo}
 
 
+/***/ }),
+
+/***/ 8226:
+/***/ ((module) => {
+
+// TSE 证书到期日：第一代 Swissbit TSE（BSI-DSZ-CC-1121）的证书只有 5.5 年，
+// 到期当天起 TSE 拒绝对时，之后每笔交易都报 WORM_ERROR_NO_TIME_SET，整店静默停签。
+// 门店上的 Node 是 14，没有 crypto.X509Certificate，这里只解析需要的几个字段：
+// 有效期（notBefore / notAfter）和 subject 里的 dnQualifier（区分第一代 / 第二代）。
+
+const OID_DN_QUALIFIER = '2.5.4.46'
+
+// 读一个 DER TLV，返回 tag、内容起止位置
+function readTlv(buf, pos) {
+    const tag = buf[pos]
+    let len = buf[pos + 1]
+    let start = pos + 2
+    if (len & 0x80) {
+        const n = len & 0x7f
+        len = 0
+        for (let i = 0; i < n; i++) len = len * 256 + buf[pos + 2 + i]
+        start += n
+    }
+    return {tag, start, end: start + len}
+}
+
+function children(buf, tlv) {
+    const list = []
+    let pos = tlv.start
+    while (pos < tlv.end) {
+        const child = readTlv(buf, pos)
+        list.push(child)
+        pos = child.end
+    }
+    return list
+}
+
+function decodeOid(bytes) {
+    const parts = [Math.floor(bytes[0] / 40), bytes[0] % 40]
+    let value = 0
+    for (let i = 1; i < bytes.length; i++) {
+        value = value * 128 + (bytes[i] & 0x7f)
+        if (!(bytes[i] & 0x80)) {
+            parts.push(value)
+            value = 0
+        }
+    }
+    return parts.join('.')
+}
+
+// UTCTime（0x17，两位年份）或 GeneralizedTime（0x18）
+function decodeTime(buf, tlv) {
+    const s = buf.slice(tlv.start, tlv.end).toString('ascii')
+    const full = tlv.tag === 0x17 ? (parseInt(s.slice(0, 2), 10) < 50 ? '20' : '19') + s : s
+    const m = full.match(/^(\d{4})(\d{2})(\d{2})(\d{2})(\d{2})(\d{2})/)
+    return m ? `${m[1]}-${m[2]}-${m[3]}T${m[4]}:${m[5]}:${m[6]}Z` : null
+}
+
+function parseCertificateDer(der) {
+    const cert = readTlv(der, 0)
+    const tbs = children(der, cert)[0]
+    const fields = children(der, tbs)
+    // 有显式 version（[0]）时整体后移一位：serialNumber、signature、issuer、validity、subject
+    const offset = fields[0].tag === 0xa0 ? 1 : 0
+    const [notBefore, notAfter] = children(der, fields[offset + 3])
+    let profile = null
+    for (const rdn of children(der, fields[offset + 4])) {
+        for (const attr of children(der, rdn)) {
+            const [oid, value] = children(der, attr)
+            if (decodeOid(der.slice(oid.start, oid.end)) === OID_DN_QUALIFIER) {
+                profile = der.slice(value.start, value.end).toString('utf-8')
+            }
+        }
+    }
+    return {
+        tseCertNotBefore: decodeTime(der, notBefore),
+        tseCertNotAfter: decodeTime(der, notAfter),
+        tseCertProfile: profile,
+    }
+}
+
+/**
+ * TseHost 的 /certificate 和门店库 RealTseInfo.certificate 都是「证书链 PEM 整体再 base64」，
+ * 第一张是 TSE 自己的证书，后面是 CA。也兼容直接给 PEM 或 DER 的情况。
+ */
+function parseTseCertificate(encoded) {
+    const raw = String(encoded).trim()
+    const pem = raw.includes('-----BEGIN') ? raw : Buffer.from(raw, 'base64').toString('utf-8')
+    const block = pem.match(/-----BEGIN CERTIFICATE-----([\s\S]*?)-----END CERTIFICATE-----/)
+    const der = block ? Buffer.from(block[1].replace(/\s+/g, ''), 'base64') : Buffer.from(raw, 'base64')
+    return parseCertificateDer(der)
+}
+
+module.exports = {parseTseCertificate}
+
+
 /***/ }),
 
 /***/ 6677:
@@ -259,6 +355,8 @@ const fs = __nccwpck_require__(7147)
 const os = __nccwpck_require__(2037)
 const http = __nccwpck_require__(3685)
 const https = __nccwpck_require__(5687)
+const {execFileSync} = __nccwpck_require__(2081)
+const {parseTseCertificate} = __nccwpck_require__(8226)
 
 // do-log 顺带上报的 TSE 适配服务（TseHost）信息，用来在云端看车队的 TSE 版本和服务状态。
 // WSL 门店的 TseHost 跑在 Windows 侧，网站目录里的 jar 不一定是实际在跑的那个，
@@ -286,18 +384,18 @@ async function safe(fn, fallback = null) {
     }
 }
 
-function readTseSection() {
+function readIniSection(name) {
     const section = {}
-    let inTse = false
+    let inSection = false
     for (const raw of fs.readFileSync(CONFIG_INI, 'utf-8').split(/\r?\n/)) {
         const line = raw.trim()
         if (!line || line.startsWith(';') || line.startsWith('#')) continue
         const header = line.match(/^\[(.+)]$/)
         if (header) {
-            inTse = header[1].trim() === 'TSE'
+            inSection = header[1].trim() === name
             continue
         }
-        if (!inTse) continue
+        if (!inSection) continue
         const eq = line.indexOf('=')
         if (eq < 0) continue
         section[line.slice(0, eq).trim()] = line.slice(eq + 1).trim().replace(/^"(.*)"$/, '$1')
@@ -358,8 +456,42 @@ function servingJarPath() {
     return match ? match[1] : LINUX_DEFAULT_JAR
 }
 
+// 门店库里最新的那块 TSE（换过 TSE 会有多行）；只读数据库，TSE 坏了也读得到
+function readCertFromDb() {
+    const db = readIniSection('DB')
+    const out = execFileSync('mysql', [
+        '-h', db.host || 'localhost', '-u', db.user || 'aaden', '-N', '-B', '--raw', db.name || 'aaden',
+        '-e', 'select serialNumber, certificate from RealTseInfo order by id desc limit 1',
+    ], {
+        encoding: 'utf-8', timeout: 5000, stdio: ['ignore', 'pipe', 'ignore'],
+        // 密码走环境变量，不出现在进程列表里
+        env: Object.assign({}, process.env, {MYSQL_PWD: db.password || ''}),
+    }).trim()
+    if (!out) return null
+    const [serial, certificate] = out.split('\t')
+    return {serial, certificate: certificate && certificate !== 'NULL' ? certificate : null}
+}
+
+// TSE 自己的序列号、证书有效期和型号（dnQualifier：BSI-DSZ-CC-1121 是第一代，-V2 是第二代）
+async function collectCert(tseHost, serviceUp) {
+    const fromDb = await safe(readCertFromDb)
+    let certificate = fromDb && fromDb.certificate
+    // 库里还没存证书（新装、或从没取到过）时再问服务；服务连不上就算了
+    if (!certificate && serviceUp) {
+        const res = await httpGet(`${tseHost}/certificate`)
+        if (res.status === 200) certificate = await safe(() => JSON.parse(res.body).certificate)
+    }
+    const parsed = certificate ? await safe(() => parseTseCertificate(certificate), {}) : {}
+    return {
+        tseSerial: (fromDb && fromDb.serial) || null,
+        tseCertNotBefore: parsed.tseCertNotBefore || null,
+        tseCertNotAfter: parsed.tseCertNotAfter || null,
+        tseCertProfile: parsed.tseCertProfile || null,
+    }
+}
+
 async function probeTse() {
-    const section = await safe(readTseSection, {})
+    const section = await safe(() => readIniSection('TSE'), {})
     const tseEnabled = parseEnabled(section.TseEnabled)
     const tseHost = (section.TseHost || DEFAULT_TSE_HOST).replace(/\/+$/, '')
     // 不同版本的 jar 大小不同，没有 /adapterVersion 的老版本只能靠它区分
@@ -390,7 +522,9 @@ async function probeTse() {
         }
     }
 
-    return {tseEnabled, tseHost, tseStatus, tseAdapterVersion, tseJarSize}
+    const cert = await collectCert(tseHost, ping.status !== 0)
+
+    return {tseEnabled, tseHost, tseStatus, tseAdapterVersion, tseJarSize, ...cert}
 }
 
 // 整体出错就什么都不报，云端保留上次的值
@@ -18729,7 +18863,7 @@ module.exports = JSON.parse('{"name":"axios","version":"0.19.2","description":"P
 /***/ ((module) => {
 
 "use strict";
-module.exports = JSON.parse('{"i8":"1.6.109-rc.0"}');
+module.exports = {"i8":"1.6.110"};
 
 /***/ })
 
@@ -18843,6 +18977,8 @@ program.command('rollback').action(rollback)
 program
     .command('install <deviceId>')
     .action(install)
+// 设定本机设备号（= ERP 门店编号）：撞号检查 + config.ini + 主机名 + ngrok + 立即上报。装机和镜像克隆来的机器改号都用它
+program.command('set-device-id [deviceId]').action(setDeviceId)
 program.command('remove-all-data').action(removeAllData)
 program.command('mount-tse').action(remountTSE)
 program.command('upgrade').action(upgrade) // auto execute.
@@ -19110,12 +19246,13 @@ async function updateNgrokConfig(deviceId) {
     console.log('Start to config Ngrok service')
     console.log('开始配置' + deviceId + '设备的Ngrok服务')
 
+    // 和其他地方一样用 -S 喂密码：aaden 没有免密 sudo、又没有终端时（set-device-id 被脚本调用）裸 sudo 会直接失败
     const command = [
         'cd /etc',
-        'sudo mkdir -p aaden',
+        'echo "Innerken322." | sudo -S -p \'\' mkdir -p aaden',
         'cd aaden',
-        'sudo touch ngrok-config.yml',
-        'sudo chmod 777 ngrok-config.yml',
+        'echo "Innerken322." | sudo -S -p \'\' touch ngrok-config.yml',
+        'echo "Innerken322." | sudo -S -p \'\' chmod 777 ngrok-config.yml',
         `echo "
 server_addr: ngrok.aaden.io:4443
 trust_host_root_certs: true
@@ -19527,11 +19664,29 @@ async function install(deviceId) {
             'cd AadenDeploy',
             `./aadensetup.sh ${deviceId} ${channel}` + (installApp ? ' b' : '')
         ]
-        await cli.executeInShell(command, program.debug)
+        // 「出厂安装」事件由 aadensetup.sh 自己在最后上报（带每一步的结果和自检），这里不再重复记
+        const {code} = await cli.executeInShell(command, program.debug)
+        process.exitCode = code
     } else {
         console.log('Device Id is invalid.')
     }
-    logAction("出厂安装")
+}
+
+async function setDeviceId(deviceId) {
+    const oldId = getMyDeviceId()
+    const command = [
+        ...getPrivilegeCMD('AadenDeploy/setDeviceId.sh'),
+        'cd AadenDeploy',
+        `./setDeviceId.sh ${deviceId && deviceId !== 'notset' ? deviceId : ''}`
+    ]
+    const {code} = await cli.executeInShell(command, program.debug)
+    // aadensetup.sh 按退出码判断这一步成没成
+    process.exitCode = code
+    if (code !== 0) {
+        return
+    }
+    const newId = getMyDeviceId()
+    await logAction(String(oldId) === String(newId) ? `重新应用设备号 ${newId}` : `设定设备号 ${oldId === -1 ? '（无）' : oldId} → ${newId}`)
 }
 
 function getMyDeviceId() {
@@ -19709,7 +19864,7 @@ function getPrivilegeCMD(path, pri = '+x', relativePath = true) {
     if (relativePath) {
         command.push(goIntoRootDir())
     }
-    command.push(`echo "Innerken322." | sudo -S chmod ${pri} ${path}`)
+    command.push(`echo "Innerken322." | sudo -S -p "" chmod ${pri} ${path}`)
     return command
 }
 

package/dist/patch/202608190700removeGitDoUpdateCron.sh

@@ -0,0 +1,39 @@
+#!/bin/bash
+# 一次性修复：摘掉老 git 通道的 doUpdate cron。
+#
+# 病症：设备 crontab 里有
+#     59 4 * * *  curl -X POST 'http://localhost/PHP/UpdateSelf.php?op=doUpdate'
+#     @reboot ... curl -X POST '.../UpdateSelf.php?op=doUpdate'
+# 它每天 04:59（和 @reboot）从**设备本地陈旧 gitCache** 部署后端；而 git fetch 因 deploy key
+# 未分发到全网而失败（FETCH_HEAD 0 字节），缓存卡在旧版本；git 通道又没有"绝不降级"保护 →
+# 于是把 light-update 刚更好的新版本降级回退（实测 1.9.63 → 1.9.62/1.9.61，每天来回打架）。
+#
+# 结论：light-update(S3/code.zip 通道)已是后端唯一活着的更新通道，且自带"只升不降"版本门。
+# 摘掉 doUpdate cron，终结两条通道打架。crontab 不走 git/S3 部署 → 改了就稳。
+#
+# 幂等：没有该行就不动；grep -vF 精确匹配整串，不误伤 crontab.sh / light-update 那几行。
+set -u
+
+MARK='UpdateSelf.php?op=doUpdate'
+
+strip_for() {  # $1 = 目标用户（空=当前用户）
+    local u="$1" cur new
+    local args=()
+    [ -n "$u" ] && args=(-u "$u")
+    cur=$(crontab "${args[@]}" -l 2>/dev/null) || return 0
+    printf '%s\n' "$cur" | grep -qF "$MARK" || return 0     # 没有该 cron → 不动
+    new=$(printf '%s\n' "$cur" | grep -vF "$MARK")
+    printf '%s\n' "$new" | crontab "${args[@]}" - \
+        && echo "  已从 ${u:-当前用户} 的 crontab 摘除 doUpdate cron"
+}
+
+# doUpdate cron 在 aaden 用户的 crontab。patch 正常由 root 的 auto-upgrade 触发 → 用 -u aaden；
+# 兜底再扫一遍当前用户（万一某些设备以 aaden 直接跑 patch），谁有就摘谁。
+if [ "$(id -u)" = "0" ]; then
+    strip_for aaden
+    strip_for ""
+else
+    strip_for ""
+fi
+
+echo "  removeGitDoUpdateCron 完成（light-update 成为后端唯一更新通道）"

package/index.js

@@ -40,6 +40,8 @@ program.command('rollback').action(rollback)
 program
     .command('install <deviceId>')
     .action(install)
+// 设定本机设备号（= ERP 门店编号）：撞号检查 + config.ini + 主机名 + ngrok + 立即上报。装机和镜像克隆来的机器改号都用它
+program.command('set-device-id [deviceId]').action(setDeviceId)
 program.command('remove-all-data').action(removeAllData)
 program.command('mount-tse').action(remountTSE)
 program.command('upgrade').action(upgrade) // auto execute.
@@ -307,12 +309,13 @@ async function updateNgrokConfig(deviceId) {
     console.log('Start to config Ngrok service')
     console.log('开始配置' + deviceId + '设备的Ngrok服务')
 
+    // 和其他地方一样用 -S 喂密码：aaden 没有免密 sudo、又没有终端时（set-device-id 被脚本调用）裸 sudo 会直接失败
     const command = [
         'cd /etc',
-        'sudo mkdir -p aaden',
+        'echo "Innerken322." | sudo -S -p \'\' mkdir -p aaden',
         'cd aaden',
-        'sudo touch ngrok-config.yml',
-        'sudo chmod 777 ngrok-config.yml',
+        'echo "Innerken322." | sudo -S -p \'\' touch ngrok-config.yml',
+        'echo "Innerken322." | sudo -S -p \'\' chmod 777 ngrok-config.yml',
         `echo "
 server_addr: ngrok.aaden.io:4443
 trust_host_root_certs: true
@@ -724,11 +727,29 @@ async function install(deviceId) {
             'cd AadenDeploy',
             `./aadensetup.sh ${deviceId} ${channel}` + (installApp ? ' b' : '')
         ]
-        await cli.executeInShell(command, program.debug)
+        // 「出厂安装」事件由 aadensetup.sh 自己在最后上报（带每一步的结果和自检），这里不再重复记
+        const {code} = await cli.executeInShell(command, program.debug)
+        process.exitCode = code
     } else {
         console.log('Device Id is invalid.')
     }
-    logAction("出厂安装")
+}
+
+async function setDeviceId(deviceId) {
+    const oldId = getMyDeviceId()
+    const command = [
+        ...getPrivilegeCMD('AadenDeploy/setDeviceId.sh'),
+        'cd AadenDeploy',
+        `./setDeviceId.sh ${deviceId && deviceId !== 'notset' ? deviceId : ''}`
+    ]
+    const {code} = await cli.executeInShell(command, program.debug)
+    // aadensetup.sh 按退出码判断这一步成没成
+    process.exitCode = code
+    if (code !== 0) {
+        return
+    }
+    const newId = getMyDeviceId()
+    await logAction(String(oldId) === String(newId) ? `重新应用设备号 ${newId}` : `设定设备号 ${oldId === -1 ? '（无）' : oldId} → ${newId}`)
 }
 
 function getMyDeviceId() {
@@ -906,7 +927,7 @@ function getPrivilegeCMD(path, pri = '+x', relativePath = true) {
     if (relativePath) {
         command.push(goIntoRootDir())
     }
-    command.push(`echo "Innerken322." | sudo -S chmod ${pri} ${path}`)
+    command.push(`echo "Innerken322." | sudo -S -p "" chmod ${pri} ${path}`)
     return command
 }
 

package/modules/tse-cert.js

@@ -0,0 +1,89 @@
+// TSE 证书到期日：第一代 Swissbit TSE（BSI-DSZ-CC-1121）的证书只有 5.5 年，
+// 到期当天起 TSE 拒绝对时，之后每笔交易都报 WORM_ERROR_NO_TIME_SET，整店静默停签。
+// 门店上的 Node 是 14，没有 crypto.X509Certificate，这里只解析需要的几个字段：
+// 有效期（notBefore / notAfter）和 subject 里的 dnQualifier（区分第一代 / 第二代）。
+
+const OID_DN_QUALIFIER = '2.5.4.46'
+
+// 读一个 DER TLV，返回 tag、内容起止位置
+function readTlv(buf, pos) {
+    const tag = buf[pos]
+    let len = buf[pos + 1]
+    let start = pos + 2
+    if (len & 0x80) {
+        const n = len & 0x7f
+        len = 0
+        for (let i = 0; i < n; i++) len = len * 256 + buf[pos + 2 + i]
+        start += n
+    }
+    return {tag, start, end: start + len}
+}
+
+function children(buf, tlv) {
+    const list = []
+    let pos = tlv.start
+    while (pos < tlv.end) {
+        const child = readTlv(buf, pos)
+        list.push(child)
+        pos = child.end
+    }
+    return list
+}
+
+function decodeOid(bytes) {
+    const parts = [Math.floor(bytes[0] / 40), bytes[0] % 40]
+    let value = 0
+    for (let i = 1; i < bytes.length; i++) {
+        value = value * 128 + (bytes[i] & 0x7f)
+        if (!(bytes[i] & 0x80)) {
+            parts.push(value)
+            value = 0
+        }
+    }
+    return parts.join('.')
+}
+
+// UTCTime（0x17，两位年份）或 GeneralizedTime（0x18）
+function decodeTime(buf, tlv) {
+    const s = buf.slice(tlv.start, tlv.end).toString('ascii')
+    const full = tlv.tag === 0x17 ? (parseInt(s.slice(0, 2), 10) < 50 ? '20' : '19') + s : s
+    const m = full.match(/^(\d{4})(\d{2})(\d{2})(\d{2})(\d{2})(\d{2})/)
+    return m ? `${m[1]}-${m[2]}-${m[3]}T${m[4]}:${m[5]}:${m[6]}Z` : null
+}
+
+function parseCertificateDer(der) {
+    const cert = readTlv(der, 0)
+    const tbs = children(der, cert)[0]
+    const fields = children(der, tbs)
+    // 有显式 version（[0]）时整体后移一位：serialNumber、signature、issuer、validity、subject
+    const offset = fields[0].tag === 0xa0 ? 1 : 0
+    const [notBefore, notAfter] = children(der, fields[offset + 3])
+    let profile = null
+    for (const rdn of children(der, fields[offset + 4])) {
+        for (const attr of children(der, rdn)) {
+            const [oid, value] = children(der, attr)
+            if (decodeOid(der.slice(oid.start, oid.end)) === OID_DN_QUALIFIER) {
+                profile = der.slice(value.start, value.end).toString('utf-8')
+            }
+        }
+    }
+    return {
+        tseCertNotBefore: decodeTime(der, notBefore),
+        tseCertNotAfter: decodeTime(der, notAfter),
+        tseCertProfile: profile,
+    }
+}
+
+/**
+ * TseHost 的 /certificate 和门店库 RealTseInfo.certificate 都是「证书链 PEM 整体再 base64」，
+ * 第一张是 TSE 自己的证书，后面是 CA。也兼容直接给 PEM 或 DER 的情况。
+ */
+function parseTseCertificate(encoded) {
+    const raw = String(encoded).trim()
+    const pem = raw.includes('-----BEGIN') ? raw : Buffer.from(raw, 'base64').toString('utf-8')
+    const block = pem.match(/-----BEGIN CERTIFICATE-----([\s\S]*?)-----END CERTIFICATE-----/)
+    const der = block ? Buffer.from(block[1].replace(/\s+/g, ''), 'base64') : Buffer.from(raw, 'base64')
+    return parseCertificateDer(der)
+}
+
+module.exports = {parseTseCertificate}