trustbase-seller-backend 0.2.1 → 0.2.2

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "trustbase-seller-backend",
-  "version": "0.2.1",
+  "version": "0.2.2",
   "description": "TrustBase Seller Backend (merchant edition) — 商品上链/订单/支付/质押 write API for TrustBase 保障链生态. 单卖家自托管形态: 签名 key 即卖家身份, 私钥不出门.",
   "main": "run-unified.js",
   "bin": {

package/routes/onboard.html

@@ -708,7 +708,10 @@ async function submit(){
     document.getElementById('r-addr').textContent=j.tb_address;
     document.getElementById('result').style.display='block';
     document.getElementById('status').className='status-ok';
-    document.getElementById('status').textContent='✅ 卖家身份已生成 (密钥已保存在本机 tb-keyring/)';
+    // 2026-09-26 资产安全: 助记词只在首次创建返回; 已有身份时 j.mnemonic 为空
+    document.getElementById('status').textContent=j.identity_created===false
+      ? '✅ 卖家身份已存在 (助记词仅首次创建时展示过)'
+      : '✅ 卖家身份已生成 (密钥已保存在本机 tb-keyring/)';
     if(j.mnemonic){
       _mn=j.mnemonic;
       var words=j.mnemonic.split(/\s+/);

package/routes/onboard.js

@@ -211,17 +211,21 @@ function createOnboardRouter(deps) {
             db.prepare("INSERT INTO onboard_merchants (merchant_shortname, mobile_phone, category, tb_address, sub_mchid, created_at) VALUES (?,?,?,?,?,?)")
                 .run(String(b.merchant_shortname), String(b.mobile_phone || ""), String(b.category || ""), identity.address, subMchid, Math.floor(Date.now() / 1000));
             console.log("[onboard] merchant:", b.merchant_shortname, "addr:", identity.address, identity.created ? "(新身份)" : "(已有身份)");
-            // mnemonic 只经本机 localhost 返回给页面展示一次, 勿加进任何日志/远程调用
+            // 助记词只在首次创建身份时返回一次 (2026-09-26 资产安全修复):
+            // 已有身份时绝不回吐 — 本端点无鉴权, 重复调用返助记词 = LAN 任何人可拿走商户资产。
+            // 已有身份后重复提交幂等返回 (不含任何敏感信息)。
             res.json({
                 ok: true,
                 sub_mchid: subMchid,
                 tb_address: identity.address,
-                mnemonic: identity.mnemonic,
+                ...(identity.created ? { mnemonic: identity.mnemonic } : {}),
                 identity_created: identity.created,
                 grant_tct: 100,
                 shop_base_url: shopBaseUrl(req),
-                next_step: "下一步: 上架商品 (进入店铺后台), 或在认证完成后领取 100 TCT 引导金",
-                message: "卖家身份已生成，完成微信认证后发放引导金",
+                next_step: identity.created
+                    ? "下一步: 抄下助记词 (纸密钥), 然后上架商品或完成微信认证领 100 TCT 引导金"
+                    : "身份已存在 (助记词仅创建时展示过一次), 继续入驻流程即可",
+                message: identity.created ? "卖家身份已生成，完成微信认证后发放引导金" : "卖家身份已存在",
             });
         } catch (e) {
             console.error("[onboard] error:", e && e.message);