n20-common-lib 3.3.29 → 3.3.30

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "n20-common-lib",
-  "version": "3.3.29",
+  "version": "3.3.30",
   "private": false,
   "scripts": {
     "serve": "vue-cli-service serve",

package/src/i18n.json

@@ -6167,6 +6167,14 @@
     "zh-hk": "憑證過期",
     "es": "Certificado caducado"
   },
+  "证书已过期": {
+    "en": "Certificate expired",
+    "th": "ใบรับรองหมดอายุ",
+    "vi": "Chứng chỉ đã hết hạn",
+    "ja": "証明書の有効期限が切れました",
+    "zh-hk": "憑證已過期",
+    "es": "Certificado caducado"
+  },
   "证书已废止": {
     "en": "Certificate has been revoked",
     "th": "ใบรับรองถูกเพิกถอนแล้ว",

package/src/plugins/Sign/dn.js

@@ -55,3 +55,33 @@ export function isDnMatched(certDn, userDn) {
   const userCn = getCn(userAttrs)
   return certCn && userCn && certCn === userCn
 }
+
+/**
+ * 返回匹配 DN 的证书及到期时间，保留 SDK 原始索引用于后续签名。
+ */
+export function getMatchedCerts(dnList, dn) {
+  return dnList
+    .map((cert, index) => ({ cert, index }))
+    .filter(({ cert }) => isDnMatched(cert.certDN, dn))
+    .map(item => ({
+      ...item,
+      // NSGetCertsListInfo 的 SDK 已解码 validEnd，补齐 GMT 前的空格后解析。
+      validEndTime: new Date(item.cert.validEnd?.replace(/GMT$/, ' GMT')).getTime()
+    }))
+}
+
+/**
+ * 业务条件筛选完成后过滤过期证书，再按到期时间倒序排列副本。
+ */
+export function getValidCerts(matchedCerts) {
+  const now = Date.now()
+  return matchedCerts
+    // 只剔除明确过期的证书，保留原先对缺失或无效日期的兼容行为。
+    .filter(({ validEndTime }) => !(validEndTime <= now))
+    .sort((a, b) => {
+      // 缺失或无法解析的日期放到最后，同一有效期保持原始顺序。
+      const aTime = Number.isNaN(a.validEndTime) ? -Infinity : a.validEndTime
+      const bTime = Number.isNaN(b.validEndTime) ? -Infinity : b.validEndTime
+      return bTime - aTime || a.index - b.index
+    })
+}

package/src/plugins/Sign/sign.js

@@ -3,7 +3,7 @@ import { Message, Notification } from 'element-ui'
 import { $lc } from '../../utils/i18n/index.js'
 
 import { IWSAgent } from './InfosecNetSignCNGAgent.min.js'
-import { isCertCheckFailed, isDnMatched, parseCA } from './dn.js'
+import { getMatchedCerts, getValidCerts, isCertCheckFailed, parseCA } from './dn.js'
 
 const {
   IWSASetTimeOut,
@@ -152,30 +152,29 @@ export async function performSign(plain, index) {
     })
   })
 }
-/**
- * 从Dn中获取CN
- * @param {string} dn 要解析的Dn
- * @returns {string} 解析后的CN
- */
 /**
  * 验证Dn是否存在于Dn列表中
  * @param {Array} dnList 获取到的Dn列表
  * @param {string} dn 要验证的Dn
- * @returns {number} - 如果找到匹配的 DN，则返回其在 dnList 中的索引；如果未找到，则返回 -1
+ * @returns {number} - 返回可用证书的原始索引；未匹配或全部过期时返回 -1
  */
 function verifyDn(dnList, dn) {
-  let index = -1
-  dnList.find((C, i) => {
-    if (isDnMatched(C.certDN, dn)) {
-      index = i
-      return true
-    }
-  })
-  if (index === -1) {
-    let dnList = dnList?.map((res) => res.certDN)?.join(',')
-    Message.error(`${$lc('证书Dn不匹配:')}${dnList}${$lc('里面无法匹配===>')}${dn}`)
-    return index
+  const matchedCerts = getMatchedCerts(dnList, dn)
+  if (matchedCerts.length === 0) {
+    const certDns = dnList.map((res) => res.certDN).join(',')
+    Message.error(`${$lc('证书Dn不匹配:')}${certDns}${$lc('里面无法匹配===>')}${dn}`)
+    return -1
   }
+
+  // 保留 DN 匹配条件，剔除过期证书后选择 validEnd 最晚的一张。
+  const validCerts = getValidCerts(matchedCerts)
+  if (validCerts.length === 0) {
+    Message.error($lc('证书已过期'))
+    return -1
+  }
+
+  // 使用原始列表索引签名，避免排序后指向其他证书。
+  const index = validCerts[0].index
   if (index !== -1) {
     // GMT时间字符串
     const gmtTimeString = dnList[index].validEnd?.replace(/GMT$/, ' GMT')

package/src/plugins/Sign/signV3/sign.js

@@ -3,7 +3,7 @@ import { Message, MessageBox, Notification } from 'element-ui'
 import { $lc } from '../../../utils/i18n/index.js'
 
 import { IWSAgent } from './InfosecNetSignCNGAgent.min.js'
-import { isCertCheckFailed, isDnMatched } from '../dn.js'
+import { getMatchedCerts, getValidCerts, isCertCheckFailed, isDnMatched } from '../dn.js'
 
 const {
   IWSASetTimeOut,
@@ -153,7 +153,8 @@ export function getCertInfo(dn) {
         return
       }
 
-      certInfo = verifyDn(dnList, dn)
+      // 仅 NSGetCertsListInfo 的证书数据执行有效期过滤及排序。
+      certInfo = verifyCertsList(dnList, dn)
       resolve(certInfo)
     })
   })
@@ -239,7 +240,38 @@ async function performSignSkf(plainText, value) {
  * 验证Dn是否存在于Dn列表中
  * @param {Array} dnList 获取到的Dn列表
  * @param {string} dn 要验证的Dn
- * @returns {number} - 如果找到匹配的 DN，则返回其在 dnList 中的索引；如果未找到，则返回 -1
+ * @returns {number} - 返回可用证书的原始索引；未匹配或全部过期时返回 -1
+ */
+function verifyCertsList(dnList, dn) {
+  // 保留原有 DN、类型和用途条件，过期过滤后仍优先使用 SM2 签名证书。
+  const matchedCerts = getMatchedCerts(dnList, dn).filter(
+    ({ cert }) => (cert.CertType === 'SM2' && cert.KeyUsage === 'signature') || cert.CertType === 'RSA'
+  )
+  if (matchedCerts.length === 0) {
+    let dnListB = dnList?.map((res) => res.certDN)?.join(',')
+    Message.error(`${$lc('证书Dn不匹配:')}${dnListB}${$lc('里面无法匹配===>')}${dn}`)
+    return -1
+  }
+
+  // 所有符合条件的证书均过期时阻止后续签名。
+  const validCerts = getValidCerts(matchedCerts)
+  if (validCerts.length === 0) {
+    Message.error($lc('证书已过期'))
+    return -1
+  }
+
+  // 列表已按到期时间倒序；优先取有效 SM2，SM2 均过期或不存在时再取 RSA。
+  const selectedCert = validCerts.find(({ cert }) => cert.CertType === 'SM2') || validCerts[0]
+  // 同步选中证书的原始索引、DN 和算法，避免排序后签名使用其他证书。
+  const { cert, index } = selectedCert
+  certIndex = index
+  certDN = cert.certDN
+  certType = cert.CertType === 'SM2' ? 'SM3' : 'SHA1'
+  return index
+}
+
+/**
+ * SKF 接口保留原有选证流程，其数据不参与 NSGetCertsListInfo 的有效期处理。
  */
 function verifyDn(dnList, dn) {
   let index = -1