trustbase-seller-backend 0.2.6 → 0.2.8

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "trustbase-seller-backend",
-  "version": "0.2.6",
+  "version": "0.2.8",
   "description": "TrustBase Seller Backend (merchant edition) — 商品上链/订单/支付/质押 write API for TrustBase 保障链生态. 单卖家自托管形态: 签名 key 即卖家身份, 私钥不出门.",
   "main": "run-unified.js",
   "bin": {

package/routes/onboard.html

@@ -70,6 +70,16 @@ h1{font-size:22px;margin-bottom:4px}
 #apply-form div[id^="a_up_"] label.sbtn::after{content:'支持 jpg/png, 本机压缩后上传';font-size:11px;color:#BDB5A6;font-weight:400;border:none;background:none;padding:0}
 #apply-form div[id^="a_up_"] label.sbtn:hover{border-color:#C4633C;background:#FBF1EA}
 #apply-form div[id^="a_up_"] span[id^="st_"]{display:block;font-size:12px;margin-top:6px}
+/* 上传槽已传态 (2026-10-03 二重框修复): 缩略图占满卡片 + 文件名 + 替换/删除 */
+#apply-form .upfilled .auprev{display:block;width:100%;max-height:150px;object-fit:cover;border-radius:8px;border:1px solid #EAE3D6;margin-bottom:6px}
+#apply-form .upph{background:#F0FDF4;border:1px solid #BBF7D0;color:#166534;border-radius:8px;padding:20px 10px;font-size:14px;font-weight:600;text-align:center;margin-bottom:6px}
+#apply-form .upph .upph-sub{font-size:11px;font-weight:400;color:#4D7C5F;margin-top:2px}
+#apply-form .upstat{display:block;font-size:12px;margin:4px 0 6px}
+#apply-form .upops{display:flex;gap:8px}
+#apply-form .upop{flex:1;text-align:center;font-size:12px;color:#C4633C;border:1px solid #C4633C;border-radius:6px;padding:5px 8px;background:#fff;cursor:pointer}
+#apply-form .upop:hover{background:#F7EDE6}
+#apply-form .upop.updel{color:#DC2626;border-color:#FCA5A5}
+#apply-form .upop.updel:hover{background:#FEF2F2}
 img.auprev{display:none;width:100%;max-height:140px;object-fit:cover;border-radius:8px;margin-bottom:8px;border:1px solid #EAE3D6}
 .auname{font-size:11px;color:#8A857B;margin:-2px 0 6px;word-break:break-all}
 /* 提交按钮 + 隐私行 */
@@ -148,9 +158,8 @@ img.auprev{display:none;width:100%;max-height:140px;object-fit:cover;border-radi
       <div id="restore-msg" style="font-size:13px;margin-top:6px"></div>
     </div>
     <div id="backup-quiz" style="display:none;margin-top:10px;background:#FCFAF4;border:1px solid #EAE3D6;border-radius:12px;padding:14px 16px">
-      <div class="desc" style="margin-bottom:4px">确认你真的抄好了 — 请按安全卡上抄写的填写 (答错不会提示正确答案, 可重新抽题):</div>
+      <div class="desc" style="margin-bottom:4px">确认你真的抄好了 — 分 3 步, 一次填一个词 (答错不会提示正确答案):</div>
       <div id="backup-questions"></div>
-      <button class="sbtn primary" style="margin-top:10px" onclick="checkBackupVerify()">提交验证</button>
     </div>
     <div id="backup-result"></div>
   </div>
@@ -416,47 +425,74 @@ function renderProgress(s){
   // 当前可做项高亮 (备份验证已过 → 持久打勾 (后端 tb_backup_ack 台账); 否则标当前可做)
   if(s.backup_acked){ markStepDone('st-backup'); } else { document.getElementById('st-backup').className='step current'; }
 }
-// ---- 纸密钥备份回填验证 (2026-10-03, MetaMask 式抽词; 原则: mnemonic 不出本机) ----
-// 首次创建 (助记词还在页面内存 _mn) → 纯前端比对, 不调网络;
-// 页面刷新后 → POST /api/onboard/verify-backup 本机后端比对 (只送位置+词, 后端永不返回正确词)。
-var _bqTries=0;
+// ---- 店铺安全卡回填验证 (2026-10-03, MetaMask 式抽词; 原则: 安全词不出本机) ----
+// 分步式 (xiaomu 拍板): 抽 3 词位, 一次只问一个词, 每步单独验证 (即时反馈, 答错不累积)。
+// 首次创建 (安全词还在页面内存 _mn) → 纯前端比对, 不调网络;
+// 页面刷新后 → POST /api/onboard/verify-backup 单元素 positions (端点 ≤5 支持), 本机后端比对。
+var _bq={positions:[],idx:0,wrong:0};
 function startBackupVerify(){
   // 随机抽 3 个词位 (1-24 不重复, 升序展示)
   var pool=[]; for(var i=1;i<=24;i++) pool.push(i);
   var pos=[];
   while(pos.length<3){ pos.push(pool.splice(Math.floor(Math.random()*pool.length),1)[0]); }
   pos.sort(function(a,b){return a-b;});
-  var q=document.getElementById('backup-questions');
-  q.innerHTML=pos.map(function(p){
-    return '<label style="display:block;font-size:13px;color:#6B655B;margin:8px 0 4px">请按安全卡上抄写的填写第 '+p+' 个词</label>'
-      +'<input class="bq-word" data-pos="'+p+'" placeholder="第 '+p+' 个词" autocapitalize="off" autocomplete="off" spellcheck="false" style="width:100%;padding:10px 12px;border:1px solid #D4CDBF;border-radius:8px;font-size:15px;background:#fff">';
-  }).join('');
+  _bq={positions:pos,idx:0,wrong:0};
   document.getElementById('backup-result').innerHTML='';
-  var box=document.getElementById('backup-quiz');
-  box.style.display='block';
-  box.scrollIntoView({behavior:'smooth',block:'center'});
+  document.getElementById('backup-quiz').style.display='block';
+  renderBqStep();
 }
-async function checkBackupVerify(){
-  var inputs=document.querySelectorAll('.bq-word');
-  var positions=[], words=[];
-  inputs.forEach(function(el){ positions.push(Number(el.getAttribute('data-pos'))); words.push(el.value); });
-  if(words.some(function(w){return !w.trim();})) return backupResult(false,'三个词都要填');
-  // ① 内存路径: 助记词还在 (_mn) → 纯前端比对 (更快, 零网络)
+function renderBqStep(){
+  var p=_bq.positions[_bq.idx];
+  var q=document.getElementById('backup-questions');
+  q.innerHTML='<div style="font-size:12px;color:#8A857B;margin-bottom:6px">第 '+(_bq.idx+1)+'/3 步</div>'
+    +'<label style="display:block;font-size:13px;color:#6B655B;margin:0 0 4px">请按安全卡上抄写的填写第 '+p+' 个词</label>'
+    +'<input class="bq-word" id="bq-input" data-pos="'+p+'" placeholder="第 '+p+' 个词" autocapitalize="off" autocomplete="off" spellcheck="false" style="width:100%;padding:12px;font-size:16px;border:1px solid #D4CDBF;border-radius:8px;background:#fff">'
+    +'<div style="display:flex;gap:8px;margin-top:10px">'
+    +'<button class="sbtn primary" style="flex:1;padding:12px;font-size:15px" onclick="checkBqStep()">'+(_bq.idx<2?'下一步':'完成验证')+'</button>'
+    +'<button class="sbtn" onclick="startBackupVerify()">返回重抽</button></div>'
+    +(_bq.wrong>=3?'<div style="margin-top:8px"><button class="sbtn" onclick="swapBqPosition()">这个词位填不对? 换一个词位</button></div>':'');
+  var inp=document.getElementById('bq-input');
+  inp.focus();
+  inp.onkeydown=function(e){ if(e.key==='Enter') checkBqStep(); };
+}
+async function checkBqStep(){
+  var inp=document.getElementById('bq-input');
+  var w=(inp.value||'').trim();
+  if(!w) return backupResult(false,'请先填写这个词');
+  var p=Number(inp.getAttribute('data-pos'));
+  var correct=false;
+  // ① 内存路径: 安全词还在 (_mn) → 纯前端比对 (更快, 零网络)
   if(_mn){
-    var real=_mn.split(/\s+/);
-    var wrong=[];
-    positions.forEach(function(p,i){ if(words[i].trim().toLowerCase()!==real[p-1].toLowerCase()) wrong.push(p); });
-    if(!wrong.length){ await persistBackupAck(); return backupOk(); }
-    return backupWrong(wrong);
+    correct = _mn.split(/\s+/)[p-1].toLowerCase()===w.toLowerCase();
+  }else{
+    // ② 后端路径: 刷新后内存没有 → 本机后端比对 (安全词不出本机, 只送位置+词)
+    try{
+      var j=await readJson(await fetch('/api/onboard/verify-backup',{method:'POST',headers:{'Content-Type':'application/json'},body:JSON.stringify({positions:[p],words:[w]})}));
+      if(j.ok) correct=true;
+      else if(j.error==='rate_limited') return backupResult(false, j.message||'操作太频繁, 请稍后再试');
+      else if(j.wrong_positions&&j.wrong_positions.length) correct=false;
+      else return backupResult(false, j.message||'验证失败, 请稍后再试');
+    }catch(e){ return backupResult(false,'服务暂时不可用，请刷新重试 ('+e.message+')'); }
+  }
+  if(correct){
+    _bq.idx++; _bq.wrong=0;
+    document.getElementById('backup-result').innerHTML='';
+    if(_bq.idx>=3){ await persistBackupAck(); return backupOk(); }
+    renderBqStep();
+  }else{
+    _bq.wrong++;
+    backupResult(false,'⚠️ 这个词不对 (不会提示正确答案), 请对照安全卡重新填');
+    if(_bq.wrong>=3) renderBqStep(); // 同一词位错 3 次 → 出现"换一个词位"
+    else { inp.value=''; inp.focus(); }
   }
-  // ② 后端路径: 刷新后内存没有 → 本机后端比对 (mnemonic 不出本机)
-  try{
-    var j=await readJson(await fetch('/api/onboard/verify-backup',{method:'POST',headers:{'Content-Type':'application/json'},body:JSON.stringify({positions:positions,words:words})}));
-    if(j.ok) return backupOk();
-    if(j.error==='rate_limited') return backupResult(false, j.message||'30 秒内只能验证一次, 请稍后再试');
-    if(j.wrong_positions&&j.wrong_positions.length) return backupWrong(j.wrong_positions);
-    backupResult(false, j.message||'验证失败, 请稍后再试');
-  }catch(e){ backupResult(false,'服务暂时不可用，请刷新重试 ('+e.message+')'); }
+}
+function swapBqPosition(){
+  // 换掉当前词位 (与其他 2 个不重复), 错次清零
+  var cand;
+  do{ cand=1+Math.floor(Math.random()*24); }while(_bq.positions.indexOf(cand)>=0);
+  _bq.positions[_bq.idx]=cand; _bq.wrong=0;
+  document.getElementById('backup-result').innerHTML='';
+  renderBqStep();
 }
 async function persistBackupAck(){
   try{ await fetch('/api/onboard/backup-ack',{method:'POST',headers:{'Content-Type':'application/json'},body:'{}'}); }catch(e){}
@@ -465,14 +501,7 @@ function backupOk(){
   document.getElementById('backup-quiz').style.display='none';
   markStepDone('st-backup'); // 步骤②打勾 (后端台账已持久化, 换浏览器仍绿)
   backupResult(true,'✅ 备份已确认 — 你的店铺安全卡只有这一份, 请收好');
-  _bqTries=0;
-}
-function backupWrong(wrong){
-  _bqTries++;
-  var tip='⚠️ 第 '+wrong.join('、')+' 个词不对 — 请对照安全卡检查 (不会提示正确答案), 已重新抽题';
-  if(_bqTries>=3) tip='⚠️ 第 '+wrong.join('、')+' 个词不对; 已错 3 次, 建议点上方"重新打印安全卡"逐词对照后再试';
-  startBackupVerify(); // 重新抽题
-  backupResult(false, tip);
+  _bq={positions:[],idx:0,wrong:0};
 }
 function backupResult(ok, text){
   document.getElementById('backup-result').innerHTML=
@@ -516,27 +545,67 @@ function shrinkImage(file,cb){
   rd.onerror=function(){cb(new Error('文件读取失败'))};
   rd.readAsDataURL(file);
 }
-// 照片上传位: 选图 → 本机压缩 → 卖家后端转发 SP 网关 → media_id
+// 照片上传位 (2026-10-03 二重框 bug 修复): 槽位双态收进本函数统一管理 —
+//   空态: 只有虚线"拍照/选图"卡; 已传态: 缩略图(占满卡片)+文件名+状态行+替换/删除小按钮,
+//   空态卡整体隐藏 (旧实现上传后虚线框不隐藏 + 增强脚本另插预览 → 二重框)。
+// 预填路径 (media_id 复用): 无本地预览 → "已上传 ✓"占位 + 同款替换/删除 (不显示空框)。
+var _aSlots={}; // field → {prefill, clear} (预填/场景切换用)
 function mountApplyUpload(slotId,field,label){
   var slot=document.getElementById(slotId);
   slot.innerHTML='<label>'+label+'</label>'
-    +'<label class="sbtn" style="cursor:pointer">拍照/选图<input type="file" accept="image/*" style="display:none"></label>'
-    +' <span id="st_'+field+'" style="font-size:12px"></span>';
-  var input=slot.querySelector('input[type=file]');
-  var stat=document.getElementById('st_'+field);
-  input.addEventListener('change',function(){
+    +'<label class="sbtn upzone" style="cursor:pointer">拍照/选图<input type="file" accept="image/*" style="display:none"></label>'
+    +'<div class="upfilled" style="display:none">'
+    +'<img class="auprev" alt="预览" style="display:none">'
+    +'<div class="upph" style="display:none">已上传 ✓<div class="upph-sub">照片已传过, 无需重传</div></div>'
+    +'<div class="auname"></div>'
+    +'<div class="upstat" id="st_'+field+'"></div>'
+    +'<div class="upops">'
+    +'<label class="upop" style="cursor:pointer">替换<input type="file" accept="image/*" style="display:none"></label>'
+    +'<button type="button" class="upop updel">删除</button>'
+    +'</div></div>';
+  var zone=slot.querySelector('.upzone');
+  var filled=slot.querySelector('.upfilled');
+  var img=slot.querySelector('.auprev');
+  var ph=slot.querySelector('.upph');
+  var uname=slot.querySelector('.auname');
+  var stat=slot.querySelector('.upstat');
+  function toEmpty(){
+    zone.style.display=''; filled.style.display='none';
+    img.style.display='none'; img.removeAttribute('src');
+    ph.style.display='none'; uname.textContent=''; stat.textContent=''; stat.style.color='';
+    slot.querySelectorAll('input[type=file]').forEach(function(i){i.value='';});
+    delete _aMedia[field]; // 删除必须清 media_id, 否则删除后提交还带旧值
+  }
+  function toFilled(o){
+    zone.style.display='none'; filled.style.display='block'; // 空态卡整体隐藏 — 无二重框
+    if(o.previewUrl){ img.src=o.previewUrl; img.style.display='block'; ph.style.display='none'; }
+    else { img.style.display='none'; img.removeAttribute('src'); ph.style.display='block'; }
+    uname.textContent=o.name||'';
+    stat.style.color=o.err?'#DC2626':(o.stat&&o.stat.indexOf('✓')===0?'#16A34A':'');
+    stat.textContent=o.stat||'';
+  }
+  _aSlots[field]={
+    prefill:function(mediaId){ _aMedia[field]=mediaId; toFilled({stat:'✓ 已上传过, 无需重传'}); },
+    clear:toEmpty
+  };
+  function onFile(input){
     if(!input.files||!input.files[0]) return;
-    stat.style.color='';stat.textContent='压缩中...';
-    shrinkImage(input.files[0],function(err,payload){
-      if(err){stat.style.color='#DC2626';stat.textContent=err.message;return;}
-      stat.textContent='上传中...';
+    var file=input.files[0];
+    var previewUrl=URL.createObjectURL(file); // 本地即时预览 (不依赖上传结果)
+    toFilled({previewUrl:previewUrl,name:file.name,stat:'压缩中...'});
+    shrinkImage(file,function(err,payload){
+      if(err){ toFilled({previewUrl:previewUrl,name:file.name,stat:err.message,err:true}); return; }
+      toFilled({previewUrl:previewUrl,name:file.name,stat:'上传中...'});
       fetch('/api/onboard/applyment/upload',{method:'POST',headers:{'Content-Type':'application/json'},body:JSON.stringify(payload)})
         .then(readJson).then(function(j){
-          if(j.ok&&j.media_id){_aMedia[field]=j.media_id;stat.style.color='#16A34A';stat.textContent='✓ 已上传';}
-          else{stat.style.color='#DC2626';stat.textContent='上传失败: '+(j.message||j.error||'未知错误');}
-        }).catch(function(e){stat.style.color='#DC2626';stat.textContent='网络错误: '+e.message;});
+          if(j.ok&&j.media_id){ _aMedia[field]=j.media_id; toFilled({previewUrl:previewUrl,name:file.name,stat:'✓ 已上传'}); }
+          else toFilled({previewUrl:previewUrl,name:file.name,stat:'上传失败: '+(j.message||j.error||'未知错误'),err:true});
+        }).catch(function(e){ toFilled({previewUrl:previewUrl,name:file.name,stat:'网络错误: '+e.message,err:true}); });
     });
-  });
+  }
+  zone.querySelector('input[type=file]').addEventListener('change',function(){ onFile(this); });
+  filled.querySelector('.upops input[type=file]').addEventListener('change',function(){ onFile(this); });
+  filled.querySelector('.updel').addEventListener('click',toEmpty);
 }
 mountApplyUpload('a_up_license','license_media_id','营业执照照片 (必传)');
 mountApplyUpload('a_up_idfront','legal_id_front_media_id','身份证人像面 (必传)');
@@ -740,13 +809,13 @@ function prefillApplyForm(snap){
     var e=document.getElementById(PREFILL_MAP[k]);
     if(e&&!e.value) e.value=v;
   }
-  // 照片复用: media_id 还在微信侧有效, 标已传
+  // 照片复用: media_id 还在微信侧有效 → 槽位走"已上传"双态 (占位图+替换/删除, 无第二个空框)
   var reused=0;
   PREFILL_MEDIA.forEach(function(k){
     if(!snap[k]) return;
-    _aMedia[k]=snap[k]; reused++;
-    var st=document.getElementById('st_'+k);
-    if(st){st.style.color='#16A34A';st.textContent='✓ 已上传过, 无需重传';}
+    reused++;
+    if(_aSlots[k]) _aSlots[k].prefill(snap[k]);
+    else _aMedia[k]=snap[k]; // 槽未挂载兜底 (不应发生)
   });
   var msg=document.getElementById('apply-msg');
   msg.style.display='block';
@@ -859,8 +928,8 @@ async function restoreIdentity(){
 </script>
 <script>
 /* ===== ③ 进件表单 美化增强 (2026-10-03) —— 纯追加脚本: 不修改/不覆盖任何现有函数,
-   只做两件视觉事: ① 证件选中后显示缩略图+文件名 ② 状态卡片按内容着色 + 签约二维码占位。
-   所有字段 id / 上传提交函数 / 状态机 DOM 目标均沿用现有逻辑。 ===== */
+   ① 编码字段下拉+联动 ② 状态卡片着色 + 签约二维码占位。
+   (证件缩略图预览已于二重框修复时并入主脚本 mountApplyUpload 槽位双态) ===== */
 (function(){
   // ⓪ 编码字段下拉 (2026-10-03 xiaomu: 手填编码易被微信秒拒 → 下拉)
   // 经营类目 ↔ 主体类型联动 (企业默认 716 / 个体户默认 719, 可手改)
@@ -916,30 +985,9 @@ async function restoreIdentity(){
   linkSelectManual('a_bank_address_code','a_bankcode_manual','__MANUAL__');
   linkSelectManual('a_store_address_code','a_storecode_manual','__MANUAL__');
 
-  // ① 证件缩略图预览 (事件委托, 与现有上传 handler 并存, 只读文件不干预流程)
-  var form=document.getElementById('apply-form');
-  if(form){
-    form.addEventListener('change',function(ev){
-      var input=ev.target;
-      if(!input||input.type!=='file'||!input.files||!input.files[0]) return;
-      var slot=input.closest('div[id^="a_up_"]');
-      if(!slot) return;
-      var rd=new FileReader();
-      rd.onload=function(){
-        var img=slot.querySelector('img.auprev');
-        if(!img){
-          img=document.createElement('img');
-          img.className='auprev';img.alt='预览';
-          slot.insertBefore(img,slot.children[1]||null); // 标题label之后
-        }
-        img.src=rd.result;img.style.display='block';
-        var nm=slot.querySelector('.auname');
-        if(!nm){nm=document.createElement('div');nm.className='auname';img.insertAdjacentElement('afterend',nm);}
-        nm.textContent=input.files[0].name+' · 点卡片可重新选择';
-      };
-      rd.readAsDataURL(input.files[0]);
-    },true);
-  }
+  // ① 证件缩略图预览已并入 mountApplyUpload 槽位双态 (2026-10-03 二重框 bug 修复:
+  //  旧补丁在槽位里另插 img/文件名, 与上传后未隐藏的虚线框并存 → 二重框。本段已删除,
+  //  预览/替换/删除由主脚本 mountApplyUpload 统一渲染)。
   // ② 状态卡片着色 + 签约二维码占位 (监听现有状态机的 DOM 更新, 不改其内容逻辑)
   var box=document.getElementById('apply-status');
   if(box){

package/routes/onboard.js

@@ -478,7 +478,7 @@ function createOnboardRouter(deps) {
         db.prepare("INSERT INTO tb_backup_ack (id, acked_at) VALUES (1, ?) ON CONFLICT(id) DO UPDATE SET acked_at=excluded.acked_at")
             .run(Math.floor(Date.now() / 1000));
     }
-    const backupVerifyRate = new Map(); // ip → last attempt ms (单商户本机场景, 内存即可)
+    const backupVerifyRate = new Map(); // ip → 30s 窗口内的尝试时间戳[] (分步式验证一步一调, 6 次/30s 足够 3 步 + 重试)
     router.post("/verify-backup", (req, res) => {
         try {
             const b = req.body || {};
@@ -492,11 +492,13 @@ function createOnboardRouter(deps) {
                 return res.status(400).json({ ok: false, error: "invalid_param", message: "positions 必须是 1-24 的整数" });
             }
             const ip = req.ip || "local";
-            const last = backupVerifyRate.get(ip) || 0;
-            if (Date.now() - last < 30000) {
-                return res.status(429).json({ ok: false, error: "rate_limited", message: "30 秒内只能验证一次, 请对照纸密钥稍后再试" });
+            const nowMs = Date.now();
+            const arr = (backupVerifyRate.get(ip) || []).filter((t) => nowMs - t < 30000);
+            if (arr.length >= 6) {
+                return res.status(429).json({ ok: false, error: "rate_limited", message: "验证太频繁 (30 秒内最多 6 次), 请对照安全卡稍后再试" });
             }
-            backupVerifyRate.set(ip, Date.now());
+            arr.push(nowMs);
+            backupVerifyRate.set(ip, arr);
             let realWords;
             try {
                 realWords = fs.readFileSync(basePaths.mnemonicFile(), "utf8").trim().split(/\s+/);

package/test-onboard-applyment.js

@@ -279,6 +279,13 @@ test("onboard 页面含进件表单 (btn-apply-submit) 且第③步状态机元
         assert.ok(html.includes('name="sales_scene"'), "场景单选");
         assert.ok(html.includes("SALES_SCENES_WEB") && html.includes("SALES_SCENES_MP"), "WEB/MP 场景");
         assert.ok(html.includes("apply-err"), "错误红卡容器");
+        // 2026-10-03 二重框修复: 上传槽双态 (替换/删除按钮 + _aSlots 注册 + 删除清 media_id)
+        assert.ok(html.includes("upops") && html.includes("updel"), "替换/删除按钮结构");
+        assert.ok(html.includes("替换") && html.includes("删除"), "替换/删除文案");
+        assert.ok(html.includes("_aSlots"), "槽位双态注册表");
+        assert.ok(html.includes("delete _aMedia[field]"), "删除清 media_id");
+        assert.ok(!html.includes("slot.insertBefore(img"), "旧增强脚本预览补丁已删 (二重框根因)");
+        assert.ok(html.includes("prefill:function(mediaId)"), "预填走双态 (无第二个空框)");
         assert.ok(html.includes("maybeAutoKyc"), "M2: 进件受理后自动 KYC 提交");
         assert.ok(!html.includes("btn-verify"), "手动实名按钮已删 (自动触发)");
     } finally { srv.close(); }

package/test-onboard-backup.js

@@ -83,15 +83,18 @@ test("verify-backup: 错词 → wrong_positions (不泄正确答案) + 大小写
     } finally { srv.close(); }
 });
 
-test("verify-backup: 限流 30s (同 IP 连续两次 → 第二次 429)", async () => {
+test("verify-backup: 限流滑动窗口 6 次/30s (分步验证一步一调, 3 步+重试够用)", async () => {
     const { srv, base } = await startServer();
     try {
-        const body = JSON.stringify({ positions: [1, 2, 3], words: ["economy", "stock", "theory"] });
-        const r1 = await fetch(base + "/api/onboard/verify-backup", { method: "POST", headers: H, body });
-        assert.strictEqual(r1.status, 200);
-        const r2 = await fetch(base + "/api/onboard/verify-backup", { method: "POST", headers: H, body });
-        assert.strictEqual(r2.status, 429);
-        assert.strictEqual((await r2.json()).error, "rate_limited");
+        // 单元素 positions (分步式每步一词)
+        const body = JSON.stringify({ positions: [1], words: ["economy"] });
+        for (let i = 0; i < 6; i++) {
+            const r = await fetch(base + "/api/onboard/verify-backup", { method: "POST", headers: H, body });
+            assert.strictEqual(r.status, 200, "第 " + (i + 1) + " 次放行");
+        }
+        const r7 = await fetch(base + "/api/onboard/verify-backup", { method: "POST", headers: H, body });
+        assert.strictEqual(r7.status, 429, "第 7 次 (30s 窗口内) 拒");
+        assert.strictEqual((await r7.json()).error, "rate_limited");
     } finally { srv.close(); }
 });
 
@@ -120,7 +123,7 @@ test("backup-ack: 纯前端比对路径落账 (不带密钥材料) + status done
     } finally { srv.close(); }
 });
 
-test("页面含备份验证 UI (抽题/提交/结果显示) + 内存路径分支", async () => {
+test("页面含备份验证 UI (分步式: 单词位输入框/下一步/进度提示/换词位) + 内存路径分支", async () => {
     const { srv, base } = await startServer();
     try {
         const html = await (await fetch(base + "/onboard/")).text();
@@ -129,6 +132,13 @@ test("页面含备份验证 UI (抽题/提交/结果显示) + 内存路径分支
         assert.ok(html.includes("/api/onboard/verify-backup"), "后端比对路径");
         assert.ok(html.includes("persistBackupAck"), "内存路径 ack 落账");
         assert.ok(html.includes("我已抄好"), "大白话文案");
+        // 分步式 (2026-10-03): 一次一词 + 下一步 + 进度 + 重抽/换词位
+        assert.ok(html.includes("checkBqStep"), "单步验证函数");
+        assert.ok(html.includes("下一步"), "下一步按钮");
+        assert.ok(html.includes("/3 步"), "进度提示");
+        assert.ok(html.includes("返回重抽"), "返回重抽");
+        assert.ok(html.includes("swapBqPosition"), "换一个词位");
+        assert.ok(!html.includes("checkBackupVerify"), "旧一次性提交函数已移除");
     } finally { srv.close(); }
 });