aaden-cli 1.6.109 → 1.6.111

package/AadenDeploy/lightUpdate.sh

@@ -93,16 +93,28 @@ echo "产物版本门通过：${LOCAL_VER:-未知} -> $ART_VER"
 CONF=/var/www/html/Resource/config/config.ini
 DBCREDS=$(sudoS "php -r '\$c=@parse_ini_file(\"$CONF\",true);\$d=\$c[\"DB\"]??[];echo (\$d[\"host\"]??\"localhost\").\"|\".(\$d[\"user\"]??\"aaden\").\"|\".(\$d[\"password\"]??\"\");'" 2>/dev/null)
 DB_HOST="${DBCREDS%%|*}"; _r="${DBCREDS#*|}"; DB_USER="${_r%%|*}"; DB_PASS="${_r#*|}"
+sqlq(){ MYSQL_PWD="$DB_PASS" mysql -u"$DB_USER" -h"${DB_HOST:-localhost}" -N -e "$1"; }
+DUE=""; TSE_ERR=""; TSE_NOTE=""
 if [ -n "$DB_USER" ] && [ -n "$DB_PASS" ]; then
-  DUE=$(MYSQL_PWD="$DB_PASS" mysql -u"$DB_USER" -h"${DB_HOST:-localhost}" -N -e \
-    "SELECT COUNT(*) FROM aaden.TseExecuteQueue WHERE finished=0 AND nextExecuteTime<=NOW() AND createdAt>=NOW()-INTERVAL 5 MINUTE;" 2>/dev/null)
+  DUE=$(sqlq "SELECT COUNT(*) FROM aaden.TseExecuteQueue WHERE finished=0 AND nextExecuteTime<=NOW() AND createdAt>=NOW()-INTERVAL 5 MINUTE;" 2>"$STAGE/tse.err")
+  TSE_ERR=$(head -c 120 "$STAGE/tse.err" 2>/dev/null | tr '\n' ' ')
+  if [ -z "$DUE" ]; then
+    # 查询失败要分清两种：TseExecuteQueue 是 1.9.1（2025-03 的 migration）才有的，更老的后端没有这张表，
+    # 签名在结账请求里同步做、没有队列可查 —— 这种按空闲处理，否则永远「保守跳过」、永远升不上来
+    # （2026-10 的 1407 停在 1.7.913，每天 SKIP_TSE_QUERY）。连不上库之类的其他失败照旧跳过。
+    HAS_QUEUE=$(sqlq "SELECT COUNT(*) FROM information_schema.tables WHERE table_schema='aaden' AND table_name='TseExecuteQueue';" 2>/dev/null)
+    if [ "$HAS_QUEUE" = "0" ]; then
+      echo "本机后端没有 TseExecuteQueue 表（1.9.1 之前的版本），没有 TSE 队列可查，按空闲处理"
+      DUE=0; TSE_NOTE=" TSE_NO_QUEUE"
+    fi
+  fi
 else
-  DUE=""
+  TSE_ERR="config.ini 里读不到 [DB] 用户名/密码"
 fi
 if [ -z "$DUE" ]; then
   # 查不到 = 无法确认 TSE 状态 → 对财政数据保守跳过（不部署也不冒险打断签名）。
   # 非破坏性：此刻还没动任何文件。版本停滞会被 fleet-rollout-status 监控发现。
-  echo "TSE 队列查询失败，保守跳过本轮（未改动任何文件）"; finish "SKIP_TSE_QUERY" 0
+  echo "TSE 队列查询失败，保守跳过本轮（未改动任何文件）: $TSE_ERR"; finish "SKIP_TSE_QUERY${TSE_ERR:+ ($TSE_ERR)}" 0
 fi
 if [ "$DUE" -gt 0 ]; then
   echo "有进行中的交易/TSE 签名 (due=$DUE)，跳过本轮，等下个周期"; finish "SKIP_TSE_BUSY (due=$DUE)" 0
@@ -141,4 +153,4 @@ if [ "$HEALTHY" != "1" ]; then
   sudoS "rm -rf $STAGE"; finish "ROLLED_BACK (回到 ${LOCAL_VER:-未知})" 1
 fi
 sudoS "rm -rf $STAGE"
-finish "DEPLOY_OK $(pkgVer /var/www/html/package.json)" 0
+finish "DEPLOY_OK $(pkgVer /var/www/html/package.json)${TSE_NOTE}" 0

package/AadenDeploy/upgrade.sh

@@ -14,8 +14,9 @@ export PATH="/usr/local/bin:$PATH"
 # 同样的命令 SSH 进去跑却正常，而 /var/log/aaden-auto-upgrade.log 远程读不到。
 # 输出照常打到 stdout（cron 重定向进日志）；单独跑这个脚本、没设变量时写 /dev/null。
 STEPS="${AADEN_UPGRADE_STEPS:-/dev/null}"
+# 失败时摘要优先取 npm 的 code/syscall/path 行：npm 输出的最后两行永远是「完整日志在 …debug-0.log」，看不出原因。
 step() {
-  local name=$1 start=$SECONDS out code
+  local name=$1 start=$SECONDS out code ex
   shift
   out=$("$@" 2>&1)
   code=$?
@@ -23,8 +24,11 @@ step() {
   if [ "$code" = 0 ]; then
     echo "$name=0/$((SECONDS - start))s" >>"$STEPS"
   else
-    echo "$name=$code/$((SECONDS - start))s($(printf '%s' "$out" | tail -n 2 | tr '\n' ' ' | cut -c1-160))" >>"$STEPS"
+    ex=$(printf '%s\n' "$out" | grep -E 'npm (ERR!|error) (code|errno|syscall|path|dest) ' | head -n 4)
+    [ -n "$ex" ] || ex=$(printf '%s' "$out" | tail -n 2)
+    echo "$name=$code/$((SECONDS - start))s($(printf '%s' "$ex" | tr '\n' ' ' | cut -c1-160))" >>"$STEPS"
   fi
+  return "$code"
 }
 
 step config sh -c 'mkdir -p /etc/aaden/config && chmod -R 777 /etc/aaden/config'
@@ -34,10 +38,56 @@ step config sh -c 'mkdir -p /etc/aaden/config && chmod -R 777 /etc/aaden/config'
 # root 跑（cron）时 sudo 不要密码，多喂的一行没人读，无害。
 sudoS() { echo "Innerken322." | sudo -S "$@"; }
 
+# 别的 aaden-cli npm 安装还在跑时，不能动手：
+# crontab 里 04:55 和开机 sleep 30 各有一条单独的 `npm install aaden-cli -g`，慢的设备上要跑好几分钟，
+# 正好撞上 04:59 / 开机 sleep 60 的这里。两个 npm 同时重装同一个包 —— 我们这个 1 秒内 ENOTEMPTY（退出码 217），
+# 那一刻 aaden-cli 已被对方挪走，后面 patch/light-update/appcenter 全部 command not found；
+# 运气差的设备两边都失败，aaden-cli 整个没了，do-log 从此停报（2026-10-07：1333、1541）。
+# SSH 进去手动跑不会撞上，所以以前一直以为是「cron 环境问题」。
+# 认进程看命令行：npm 自己的进程标题不一定带参数，但 cron 起的 sh -c / sudo 外壳一直活到 npm 结束。
+# 本脚本的祖先不算 —— 远程 selfUpgrade 的 bash -lc 命令行里就有 "npm i -g aaden-cli"，它在等我们跑完。
+otherNpm() {
+  local anc=" " p=$$ q
+  while [ -n "$p" ] && [ "$p" -gt 1 ] 2>/dev/null; do
+    anc="$anc$p "
+    p=$(ps -o ppid= -p "$p" 2>/dev/null | tr -d ' ')
+  done
+  for q in $(pgrep -f 'npm (i|install) (-g )?aaden-cli' 2>/dev/null); do
+    case "$anc" in *" $q "*) ;; *) echo "$q" ;; esac
+  done
+}
+waitOtherNpm() {
+  local waited=0
+  while [ -n "$(otherNpm)" ]; do
+    if [ "$waited" -ge 900 ]; then
+      echo "等了 ${waited}s 仍有别的 npm 在装 aaden-cli: $(ps -o pid=,etime=,args= -p "$(otherNpm | tr '\n' ',' | sed 's/,$//')" 2>/dev/null | tr '\n' ';')"
+      return 1
+    fi
+    sleep 5
+    waited=$((waited + 5))
+  done
+  echo "waited=${waited}s"
+}
+
 # npm 全局重装会先把旧目录改名成 .aaden-cli-<随机串>；上次失败留下的这种目录会让之后每次都 ENOTEMPTY 失败，
-# CLI 永远停在老版本（10-03 车队里有几台卡在 1.6.88~1.6.98）。以前这里只删一个写死名字的目录，现在全删。
-step clean sudoS sh -c 'rm -rf /usr/local/lib/node_modules/.aaden-cli-*'
-step npm sudoS npm i aaden-cli -g
+# CLI 永远停在老版本（10-03 车队里有几台卡在 1.6.88~1.6.98）。全局目录不一定是 /usr/local（node 走 apt 装的是 /usr），
+# 两处都清。必须在 waitOtherNpm 之后：正在装的 npm 的 .aaden-cli-* 是它回滚用的，删了它就真回不去了。
+cleanResidue() {
+  local root
+  root=$(sudoS npm root -g 2>/dev/null | tail -n 1)
+  # 只认绝对路径的 node_modules，免得把一行 npm 警告当路径拼进 rm -rf
+  case "$root" in /*/node_modules) ;; *) root= ;; esac
+  sudoS sh -c "rm -rf /usr/local/lib/node_modules/.aaden-cli-* ${root:+$root/.aaden-cli-*}"
+}
+
+step wait waitOtherNpm
+step clean cleanResidue
+if ! step npm sudoS npm i aaden-cli -g || ! aaden-cli --version >/dev/null 2>&1; then
+  # 失败、或装完 aaden-cli 不见了：等一等、清一遍再装一次。不补救的话后面几步全是 command not found
+  step wait2 waitOtherNpm
+  step clean2 cleanResidue
+  step npm2 sudoS npm i aaden-cli -g
+fi
 
 step patch aaden-cli patch
 

package/dist/index.js

@@ -250,6 +250,102 @@ function collectHostInfo() {
 module.exports = {collectHostInfo}
 
 
+/***/ }),
+
+/***/ 8226:
+/***/ ((module) => {
+
+// TSE 证书到期日：第一代 Swissbit TSE（BSI-DSZ-CC-1121）的证书只有 5.5 年，
+// 到期当天起 TSE 拒绝对时，之后每笔交易都报 WORM_ERROR_NO_TIME_SET，整店静默停签。
+// 门店上的 Node 是 14，没有 crypto.X509Certificate，这里只解析需要的几个字段：
+// 有效期（notBefore / notAfter）和 subject 里的 dnQualifier（区分第一代 / 第二代）。
+
+const OID_DN_QUALIFIER = '2.5.4.46'
+
+// 读一个 DER TLV，返回 tag、内容起止位置
+function readTlv(buf, pos) {
+    const tag = buf[pos]
+    let len = buf[pos + 1]
+    let start = pos + 2
+    if (len & 0x80) {
+        const n = len & 0x7f
+        len = 0
+        for (let i = 0; i < n; i++) len = len * 256 + buf[pos + 2 + i]
+        start += n
+    }
+    return {tag, start, end: start + len}
+}
+
+function children(buf, tlv) {
+    const list = []
+    let pos = tlv.start
+    while (pos < tlv.end) {
+        const child = readTlv(buf, pos)
+        list.push(child)
+        pos = child.end
+    }
+    return list
+}
+
+function decodeOid(bytes) {
+    const parts = [Math.floor(bytes[0] / 40), bytes[0] % 40]
+    let value = 0
+    for (let i = 1; i < bytes.length; i++) {
+        value = value * 128 + (bytes[i] & 0x7f)
+        if (!(bytes[i] & 0x80)) {
+            parts.push(value)
+            value = 0
+        }
+    }
+    return parts.join('.')
+}
+
+// UTCTime（0x17，两位年份）或 GeneralizedTime（0x18）
+function decodeTime(buf, tlv) {
+    const s = buf.slice(tlv.start, tlv.end).toString('ascii')
+    const full = tlv.tag === 0x17 ? (parseInt(s.slice(0, 2), 10) < 50 ? '20' : '19') + s : s
+    const m = full.match(/^(\d{4})(\d{2})(\d{2})(\d{2})(\d{2})(\d{2})/)
+    return m ? `${m[1]}-${m[2]}-${m[3]}T${m[4]}:${m[5]}:${m[6]}Z` : null
+}
+
+function parseCertificateDer(der) {
+    const cert = readTlv(der, 0)
+    const tbs = children(der, cert)[0]
+    const fields = children(der, tbs)
+    // 有显式 version（[0]）时整体后移一位：serialNumber、signature、issuer、validity、subject
+    const offset = fields[0].tag === 0xa0 ? 1 : 0
+    const [notBefore, notAfter] = children(der, fields[offset + 3])
+    let profile = null
+    for (const rdn of children(der, fields[offset + 4])) {
+        for (const attr of children(der, rdn)) {
+            const [oid, value] = children(der, attr)
+            if (decodeOid(der.slice(oid.start, oid.end)) === OID_DN_QUALIFIER) {
+                profile = der.slice(value.start, value.end).toString('utf-8')
+            }
+        }
+    }
+    return {
+        tseCertNotBefore: decodeTime(der, notBefore),
+        tseCertNotAfter: decodeTime(der, notAfter),
+        tseCertProfile: profile,
+    }
+}
+
+/**
+ * TseHost 的 /certificate 和门店库 RealTseInfo.certificate 都是「证书链 PEM 整体再 base64」，
+ * 第一张是 TSE 自己的证书，后面是 CA。也兼容直接给 PEM 或 DER 的情况。
+ */
+function parseTseCertificate(encoded) {
+    const raw = String(encoded).trim()
+    const pem = raw.includes('-----BEGIN') ? raw : Buffer.from(raw, 'base64').toString('utf-8')
+    const block = pem.match(/-----BEGIN CERTIFICATE-----([\s\S]*?)-----END CERTIFICATE-----/)
+    const der = block ? Buffer.from(block[1].replace(/\s+/g, ''), 'base64') : Buffer.from(raw, 'base64')
+    return parseCertificateDer(der)
+}
+
+module.exports = {parseTseCertificate}
+
+
 /***/ }),
 
 /***/ 6677:
@@ -259,6 +355,8 @@ const fs = __nccwpck_require__(7147)
 const os = __nccwpck_require__(2037)
 const http = __nccwpck_require__(3685)
 const https = __nccwpck_require__(5687)
+const {execFileSync} = __nccwpck_require__(2081)
+const {parseTseCertificate} = __nccwpck_require__(8226)
 
 // do-log 顺带上报的 TSE 适配服务（TseHost）信息，用来在云端看车队的 TSE 版本和服务状态。
 // WSL 门店的 TseHost 跑在 Windows 侧，网站目录里的 jar 不一定是实际在跑的那个，
@@ -286,18 +384,18 @@ async function safe(fn, fallback = null) {
     }
 }
 
-function readTseSection() {
+function readIniSection(name) {
     const section = {}
-    let inTse = false
+    let inSection = false
     for (const raw of fs.readFileSync(CONFIG_INI, 'utf-8').split(/\r?\n/)) {
         const line = raw.trim()
         if (!line || line.startsWith(';') || line.startsWith('#')) continue
         const header = line.match(/^\[(.+)]$/)
         if (header) {
-            inTse = header[1].trim() === 'TSE'
+            inSection = header[1].trim() === name
             continue
         }
-        if (!inTse) continue
+        if (!inSection) continue
         const eq = line.indexOf('=')
         if (eq < 0) continue
         section[line.slice(0, eq).trim()] = line.slice(eq + 1).trim().replace(/^"(.*)"$/, '$1')
@@ -358,8 +456,42 @@ function servingJarPath() {
     return match ? match[1] : LINUX_DEFAULT_JAR
 }
 
+// 门店库里最新的那块 TSE（换过 TSE 会有多行）；只读数据库，TSE 坏了也读得到
+function readCertFromDb() {
+    const db = readIniSection('DB')
+    const out = execFileSync('mysql', [
+        '-h', db.host || 'localhost', '-u', db.user || 'aaden', '-N', '-B', '--raw', db.name || 'aaden',
+        '-e', 'select serialNumber, certificate from RealTseInfo order by id desc limit 1',
+    ], {
+        encoding: 'utf-8', timeout: 5000, stdio: ['ignore', 'pipe', 'ignore'],
+        // 密码走环境变量，不出现在进程列表里
+        env: Object.assign({}, process.env, {MYSQL_PWD: db.password || ''}),
+    }).trim()
+    if (!out) return null
+    const [serial, certificate] = out.split('\t')
+    return {serial, certificate: certificate && certificate !== 'NULL' ? certificate : null}
+}
+
+// TSE 自己的序列号、证书有效期和型号（dnQualifier：BSI-DSZ-CC-1121 是第一代，-V2 是第二代）
+async function collectCert(tseHost, serviceUp) {
+    const fromDb = await safe(readCertFromDb)
+    let certificate = fromDb && fromDb.certificate
+    // 库里还没存证书（新装、或从没取到过）时再问服务；服务连不上就算了
+    if (!certificate && serviceUp) {
+        const res = await httpGet(`${tseHost}/certificate`)
+        if (res.status === 200) certificate = await safe(() => JSON.parse(res.body).certificate)
+    }
+    const parsed = certificate ? await safe(() => parseTseCertificate(certificate), {}) : {}
+    return {
+        tseSerial: (fromDb && fromDb.serial) || null,
+        tseCertNotBefore: parsed.tseCertNotBefore || null,
+        tseCertNotAfter: parsed.tseCertNotAfter || null,
+        tseCertProfile: parsed.tseCertProfile || null,
+    }
+}
+
 async function probeTse() {
-    const section = await safe(readTseSection, {})
+    const section = await safe(() => readIniSection('TSE'), {})
     const tseEnabled = parseEnabled(section.TseEnabled)
     const tseHost = (section.TseHost || DEFAULT_TSE_HOST).replace(/\/+$/, '')
     // 不同版本的 jar 大小不同，没有 /adapterVersion 的老版本只能靠它区分
@@ -390,7 +522,9 @@ async function probeTse() {
         }
     }
 
-    return {tseEnabled, tseHost, tseStatus, tseAdapterVersion, tseJarSize}
+    const cert = await collectCert(tseHost, ping.status !== 0)
+
+    return {tseEnabled, tseHost, tseStatus, tseAdapterVersion, tseJarSize, ...cert}
 }
 
 // 整体出错就什么都不报，云端保留上次的值
@@ -18729,7 +18863,7 @@ module.exports = JSON.parse('{"name":"axios","version":"0.19.2","description":"P
 /***/ ((module) => {
 
 "use strict";
-module.exports = {"i8":"1.6.109"};
+module.exports = {"i8":"1.6.111"};
 
 /***/ })
 
@@ -19594,8 +19728,10 @@ async function upgrade() {
         fs.unlinkSync(stepsFile)
     } catch (_) {}
     const failed = code !== 0 || !steps || /=[1-9]/.test(steps)
-    return ' [' + (steps || 'upgrade.sh 没跑起来') + (code ? ' exit=' + code : '') + ']'
+    const summary = ' [' + (steps || 'upgrade.sh 没跑起来') + (code ? ' exit=' + code : '') + ']'
         + (failed ? ' ' + upgradeEnvInfo() : '')
+    // 云端 device_event_log.content 是 varchar(1024)，超长整条事件会丢；npm 重试时步骤变多，截一下
+    return summary.length > 900 ? summary.slice(0, 897) + '...' : summary
 }
 
 function upgradeEnvInfo() {

package/index.js

@@ -791,8 +791,10 @@ async function upgrade() {
         fs.unlinkSync(stepsFile)
     } catch (_) {}
     const failed = code !== 0 || !steps || /=[1-9]/.test(steps)
-    return ' [' + (steps || 'upgrade.sh 没跑起来') + (code ? ' exit=' + code : '') + ']'
+    const summary = ' [' + (steps || 'upgrade.sh 没跑起来') + (code ? ' exit=' + code : '') + ']'
         + (failed ? ' ' + upgradeEnvInfo() : '')
+    // 云端 device_event_log.content 是 varchar(1024)，超长整条事件会丢；npm 重试时步骤变多，截一下
+    return summary.length > 900 ? summary.slice(0, 897) + '...' : summary
 }
 
 function upgradeEnvInfo() {

package/modules/tse-cert.js

@@ -0,0 +1,89 @@
+// TSE 证书到期日：第一代 Swissbit TSE（BSI-DSZ-CC-1121）的证书只有 5.5 年，
+// 到期当天起 TSE 拒绝对时，之后每笔交易都报 WORM_ERROR_NO_TIME_SET，整店静默停签。
+// 门店上的 Node 是 14，没有 crypto.X509Certificate，这里只解析需要的几个字段：
+// 有效期（notBefore / notAfter）和 subject 里的 dnQualifier（区分第一代 / 第二代）。
+
+const OID_DN_QUALIFIER = '2.5.4.46'
+
+// 读一个 DER TLV，返回 tag、内容起止位置
+function readTlv(buf, pos) {
+    const tag = buf[pos]
+    let len = buf[pos + 1]
+    let start = pos + 2
+    if (len & 0x80) {
+        const n = len & 0x7f
+        len = 0
+        for (let i = 0; i < n; i++) len = len * 256 + buf[pos + 2 + i]
+        start += n
+    }
+    return {tag, start, end: start + len}
+}
+
+function children(buf, tlv) {
+    const list = []
+    let pos = tlv.start
+    while (pos < tlv.end) {
+        const child = readTlv(buf, pos)
+        list.push(child)
+        pos = child.end
+    }
+    return list
+}
+
+function decodeOid(bytes) {
+    const parts = [Math.floor(bytes[0] / 40), bytes[0] % 40]
+    let value = 0
+    for (let i = 1; i < bytes.length; i++) {
+        value = value * 128 + (bytes[i] & 0x7f)
+        if (!(bytes[i] & 0x80)) {
+            parts.push(value)
+            value = 0
+        }
+    }
+    return parts.join('.')
+}
+
+// UTCTime（0x17，两位年份）或 GeneralizedTime（0x18）
+function decodeTime(buf, tlv) {
+    const s = buf.slice(tlv.start, tlv.end).toString('ascii')
+    const full = tlv.tag === 0x17 ? (parseInt(s.slice(0, 2), 10) < 50 ? '20' : '19') + s : s
+    const m = full.match(/^(\d{4})(\d{2})(\d{2})(\d{2})(\d{2})(\d{2})/)
+    return m ? `${m[1]}-${m[2]}-${m[3]}T${m[4]}:${m[5]}:${m[6]}Z` : null
+}
+
+function parseCertificateDer(der) {
+    const cert = readTlv(der, 0)
+    const tbs = children(der, cert)[0]
+    const fields = children(der, tbs)
+    // 有显式 version（[0]）时整体后移一位：serialNumber、signature、issuer、validity、subject
+    const offset = fields[0].tag === 0xa0 ? 1 : 0
+    const [notBefore, notAfter] = children(der, fields[offset + 3])
+    let profile = null
+    for (const rdn of children(der, fields[offset + 4])) {
+        for (const attr of children(der, rdn)) {
+            const [oid, value] = children(der, attr)
+            if (decodeOid(der.slice(oid.start, oid.end)) === OID_DN_QUALIFIER) {
+                profile = der.slice(value.start, value.end).toString('utf-8')
+            }
+        }
+    }
+    return {
+        tseCertNotBefore: decodeTime(der, notBefore),
+        tseCertNotAfter: decodeTime(der, notAfter),
+        tseCertProfile: profile,
+    }
+}
+
+/**
+ * TseHost 的 /certificate 和门店库 RealTseInfo.certificate 都是「证书链 PEM 整体再 base64」，
+ * 第一张是 TSE 自己的证书，后面是 CA。也兼容直接给 PEM 或 DER 的情况。
+ */
+function parseTseCertificate(encoded) {
+    const raw = String(encoded).trim()
+    const pem = raw.includes('-----BEGIN') ? raw : Buffer.from(raw, 'base64').toString('utf-8')
+    const block = pem.match(/-----BEGIN CERTIFICATE-----([\s\S]*?)-----END CERTIFICATE-----/)
+    const der = block ? Buffer.from(block[1].replace(/\s+/g, ''), 'base64') : Buffer.from(raw, 'base64')
+    return parseCertificateDer(der)
+}
+
+module.exports = {parseTseCertificate}

package/modules/tse-info.js

@@ -2,6 +2,8 @@ const fs = require('fs')
 const os = require('os')
 const http = require('http')
 const https = require('https')
+const {execFileSync} = require('child_process')
+const {parseTseCertificate} = require('./tse-cert')
 
 // do-log 顺带上报的 TSE 适配服务（TseHost）信息，用来在云端看车队的 TSE 版本和服务状态。
 // WSL 门店的 TseHost 跑在 Windows 侧，网站目录里的 jar 不一定是实际在跑的那个，
@@ -29,18 +31,18 @@ async function safe(fn, fallback = null) {
     }
 }
 
-function readTseSection() {
+function readIniSection(name) {
     const section = {}
-    let inTse = false
+    let inSection = false
     for (const raw of fs.readFileSync(CONFIG_INI, 'utf-8').split(/\r?\n/)) {
         const line = raw.trim()
         if (!line || line.startsWith(';') || line.startsWith('#')) continue
         const header = line.match(/^\[(.+)]$/)
         if (header) {
-            inTse = header[1].trim() === 'TSE'
+            inSection = header[1].trim() === name
             continue
         }
-        if (!inTse) continue
+        if (!inSection) continue
         const eq = line.indexOf('=')
         if (eq < 0) continue
         section[line.slice(0, eq).trim()] = line.slice(eq + 1).trim().replace(/^"(.*)"$/, '$1')
@@ -101,8 +103,42 @@ function servingJarPath() {
     return match ? match[1] : LINUX_DEFAULT_JAR
 }
 
+// 门店库里最新的那块 TSE（换过 TSE 会有多行）；只读数据库，TSE 坏了也读得到
+function readCertFromDb() {
+    const db = readIniSection('DB')
+    const out = execFileSync('mysql', [
+        '-h', db.host || 'localhost', '-u', db.user || 'aaden', '-N', '-B', '--raw', db.name || 'aaden',
+        '-e', 'select serialNumber, certificate from RealTseInfo order by id desc limit 1',
+    ], {
+        encoding: 'utf-8', timeout: 5000, stdio: ['ignore', 'pipe', 'ignore'],
+        // 密码走环境变量，不出现在进程列表里
+        env: Object.assign({}, process.env, {MYSQL_PWD: db.password || ''}),
+    }).trim()
+    if (!out) return null
+    const [serial, certificate] = out.split('\t')
+    return {serial, certificate: certificate && certificate !== 'NULL' ? certificate : null}
+}
+
+// TSE 自己的序列号、证书有效期和型号（dnQualifier：BSI-DSZ-CC-1121 是第一代，-V2 是第二代）
+async function collectCert(tseHost, serviceUp) {
+    const fromDb = await safe(readCertFromDb)
+    let certificate = fromDb && fromDb.certificate
+    // 库里还没存证书（新装、或从没取到过）时再问服务；服务连不上就算了
+    if (!certificate && serviceUp) {
+        const res = await httpGet(`${tseHost}/certificate`)
+        if (res.status === 200) certificate = await safe(() => JSON.parse(res.body).certificate)
+    }
+    const parsed = certificate ? await safe(() => parseTseCertificate(certificate), {}) : {}
+    return {
+        tseSerial: (fromDb && fromDb.serial) || null,
+        tseCertNotBefore: parsed.tseCertNotBefore || null,
+        tseCertNotAfter: parsed.tseCertNotAfter || null,
+        tseCertProfile: parsed.tseCertProfile || null,
+    }
+}
+
 async function probeTse() {
-    const section = await safe(readTseSection, {})
+    const section = await safe(() => readIniSection('TSE'), {})
     const tseEnabled = parseEnabled(section.TseEnabled)
     const tseHost = (section.TseHost || DEFAULT_TSE_HOST).replace(/\/+$/, '')
     // 不同版本的 jar 大小不同，没有 /adapterVersion 的老版本只能靠它区分
@@ -133,7 +169,9 @@ async function probeTse() {
         }
     }
 
-    return {tseEnabled, tseHost, tseStatus, tseAdapterVersion, tseJarSize}
+    const cert = await collectCert(tseHost, ping.status !== 0)
+
+    return {tseEnabled, tseHost, tseStatus, tseAdapterVersion, tseJarSize, ...cert}
 }
 
 // 整体出错就什么都不报，云端保留上次的值

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "aaden-cli",
-  "version": "1.6.109",
+  "version": "1.6.111",
   "description": "",
   "main": "dist/index.js",
   "scripts": {