trustbase-seller-backend 0.7.9 → 0.8.0

package/core/chain-reconcile.js

@@ -102,9 +102,12 @@ async function runChainReconcile({ db, lcdUrl }) {
             summary.checked += 1;
             const slot = activeBySku.get(p.id);
             if (slot) {
+                // 本地质押是卖家原始快照，链上声誉调整后的 stake_per_unit 不参与一致性比较；
+                // 否则每次对账都会把同一商品重复记为 recovered（本地值又按设计保留）。
+                const hasLocalStake = p.chain_stake_per_unit !== null && p.chain_stake_per_unit !== undefined && p.chain_stake_per_unit !== "";
                 const needsRecover = !p.chain_listed || p.chain_sku_id !== slot.sku_id ||
                     Number(p.chain_slot_index) !== Number(slot.slot_index) ||
-                    String(p.chain_stake_per_unit || "") !== String(slot.stake_per_unit || "");
+                    (!hasLocalStake && String(slot.stake_per_unit || "") !== "");
                 if (needsRecover) {
                     updateLocalFromSlot(db, p, slot);
                     summary.recovered += 1;

package/middleware/api-key-auth.d.ts

@@ -1,64 +1,66 @@
-/**
- * API Key Authentication - API 密钥认证
- *
- * 类似 SSH 的双重验证：
- * 1. API Key（类似 SSH 密钥）
- * 2. 密码（类似 SSH 密码）
- *
- * 使用场景：
- * - 外部访问必须验证
- * - 局域网可跳过验证
- */
-import { Request, Response, NextFunction } from 'express';
-interface APIKey {
-    key: string;
-    keyPlaintext?: string;
-    name: string;
-    password: string;
-    createdAt: number;
-    lastUsedAt?: number;
-    permissions: string[];
-    ipWhitelist?: string[];
-    enabled: boolean;
-}
-/**
- * 生成 API Key
- */
-export declare function generateAPIKey(): string;
-/**
- * 加载 API Keys
- */
-export declare function loadAPIKeys(): APIKey[];
-/**
- * 保存 API Keys
- */
-export declare function saveAPIKeys(keys: APIKey[]): void;
-/**
- * 创建新的 API Key（银行标准：加密存储）
- */
-export declare function createAPIKey(name: string, password: string, permissions?: string[], ipWhitelist?: string[]): {
-    key: string;
-    password: string;
-};
-/**
- * 验证 API Key（银行标准：解密验证）
- */
-export declare function validateAPIKey(key: string, password: string, clientIP?: string): {
-    valid: boolean;
-    apiKey?: APIKey;
-    error?: string;
-};
-/**
- * 撤销 API Key
- */
-export declare function revokeAPIKey(key: string): boolean;
-/**
- * 列出所有 API Keys（隐藏密码）
- */
-export declare function listAPIKeys(): Omit<APIKey, 'password'>[];
-/**
- * API Key 认证中间件（集成入侵检测）
- */
-export declare function requireAPIKey(skipLAN?: boolean, exemptPaths?: string[]): (req: Request, res: Response, next: NextFunction) => void | Response<any, Record<string, any>>;
-export {};
+/**
+ * API Key Authentication - API 密钥认证
+ *
+ * 类似 SSH 的双重验证：
+ * 1. API Key（类似 SSH 密钥）
+ * 2. 密码（类似 SSH 密码）
+ *
+ * 使用场景：
+ * - 外部访问必须验证
+ * - 局域网可跳过验证
+ */
+import { Request, Response, NextFunction } from 'express';
+interface APIKey {
+    key: string;
+    keyPlaintext?: string;
+    name: string;
+    password: string;
+    createdAt: number;
+    lastUsedAt?: number;
+    permissions: string[];
+    ipWhitelist?: string[];
+    enabled: boolean;
+}
+/**
+ * 生成 API Key
+ */
+export declare function generateAPIKey(): string;
+/**
+ * 加载 API Keys
+ */
+export declare function loadAPIKeys(): APIKey[];
+/**
+ * 保存 API Keys
+ */
+export declare function saveAPIKeys(keys: APIKey[]): void;
+/**
+ * 创建新的 API Key（银行标准：加密存储）
+ */
+export declare function createAPIKey(name: string, password: string, permissions?: string[], ipWhitelist?: string[]): {
+    key: string;
+    password: string;
+};
+/**
+ * 验证 API Key（银行标准：解密验证）
+ */
+export declare function validateAPIKey(key: string, password: string, clientIP?: string): {
+    valid: boolean;
+    apiKey?: APIKey;
+    error?: string;
+};
+/**
+ * 撤销 API Key
+ */
+export declare function revokeAPIKey(key: string): boolean;
+/**
+ * 列出所有 API Keys（隐藏密码）
+ */
+export declare function listAPIKeys(): Omit<APIKey, 'password'>[];
+/**
+ * API Key 认证中间件（集成入侵检测）
+ */
+export declare function requireAPIKey(skipLAN?: boolean, exemptPaths?: string[]): (req: Request, res: Response, next: NextFunction) => void | Response<any, Record<string, any>>;
+/** 仅在回环隧道请求中采信网关注入的 XFF，其他请求使用 socket 对端 IP。 */
+export declare function getRateLimitClientIP(req: Request, socketIP: string): string;
+export {};
 //# sourceMappingURL=api-key-auth.d.ts.map

package/middleware/api-key-auth.js

@@ -22,6 +22,7 @@ exports.validateAPIKey = validateAPIKey;
 exports.revokeAPIKey = revokeAPIKey;
 exports.listAPIKeys = listAPIKeys;
 exports.requireAPIKey = requireAPIKey;
+exports.getRateLimitClientIP = getRateLimitClientIP;
 const crypto_1 = __importDefault(require("crypto"));
 const fs_1 = __importDefault(require("fs"));
 const path_1 = __importDefault(require("path"));

package/middleware/security.js

@@ -1,217 +1,218 @@
-"use strict";
-/**
- * Security Middleware - 安全中间件
- *
- * 功能：
- * 1. IP 白名单验证
- * 2. CORS 限制
- * 3. 请求日志审计
- * 4. 安全头部
- */
-var __importDefault = (this && this.__importDefault) || function (mod) {
-    return (mod && mod.__esModule) ? mod : { "default": mod };
-};
-Object.defineProperty(exports, "__esModule", { value: true });
-exports.requestSizeLimit = void 0;
-exports.ipWhitelist = ipWhitelist;
-exports.createCorsOptions = createCorsOptions;
-exports.auditLog = auditLog;
-exports.securityHeaders = securityHeaders;
-exports.validateEnv = validateEnv;
-const fs_1 = __importDefault(require("fs"));
-const path_1 = __importDefault(require("path"));
-// ===================== IP 白名单 =====================
-/**
- * 检查 IP 是否在 CIDR 范围内
- */
-function isIPInCIDR(ip, cidr) {
-    // 简化实现，生产环境建议使用 ip-range-check 库
-    if (cidr.endsWith('/24')) {
-        const network = cidr.replace('/24', '');
-        const ipParts = ip.split('.');
-        const networkParts = network.split('.');
-        return ipParts[0] === networkParts[0] &&
-            ipParts[1] === networkParts[1] &&
-            ipParts[2] === networkParts[2];
-    }
-    return ip === cidr;
-}
-/**
- * IP 白名单中间件
- */
-function ipWhitelist(allowedIPs) {
-    return (req, res, next) => {
-        // 如果白名单为空，允许所有访问
-        if (!allowedIPs || allowedIPs.length === 0) {
-            return next();
-        }
-        const clientIP = (req.ip ||
-            req.connection.remoteAddress ||
-            req.headers['x-forwarded-for'] ||
-            'unknown')
-            .replace('::ffff:', ''); // IPv4 映射地址
-        const isAllowed = allowedIPs.some(ip => {
-            if (ip.includes('/')) {
-                return isIPInCIDR(clientIP, ip);
-            }
-            return clientIP === ip || clientIP.includes(ip);
-        });
-        if (!isAllowed) {
-            console.warn(`[Security] 拒绝访问: ${clientIP}`);
-            return res.status(403).json({
-                error: '禁止访问',
-                message: '您的 IP 不在白名单中'
-            });
-        }
-        next();
-    };
-}
-// ===================== CORS 配置 =====================
-/**
- * 动态 CORS 配置
- */
-function createCorsOptions(allowedOrigins) {
-    return {
-        origin: (origin, callback) => {
-            // 允许没有 origin 的请求（如移动 APP、Postman）
-            if (!origin)
-                return callback(null, true);
-            // 2026-08-13 kimi 打磨 (xiaomu 浏览器 500 根因): 同源/本机/局域网来源一律放行.
-            // 模块脚本会带 Origin — 自己服务的 UI 打自己的 API 必须是同源自通, 与 LAN 免密同一信任模型.
-            try {
-                const host = new URL(origin).hostname;
-                if (host === 'localhost' || host === '127.0.0.1' || host === '::1' || host === '[::1]' ||
-                    host.startsWith('192.168.') || host.startsWith('10.') || /^172\.(1[6-9]|2\d|3[01])\./.test(host) ||
-                    host.startsWith('fe80:') || host.startsWith('240') // 链路本地 + 国内公网 v6 段 (240e/2408/2409 等)
-                ) {
-                    return callback(null, true);
-                }
-            }
-            catch { /* 畸形 origin 继续走列表判断 */ }
-            // 空配置 fallback (baobei 15442): 没配 allowedOrigins 时放行, 不默默拒绝所有 (开发模式).
-            // 生产部署必须显式配 ALLOWED_ORIGINS (或依赖上面的 LAN 放行).
-            if (allowedOrigins.length === 0) {
-                console.warn('[CORS] ALLOWED_ORIGINS 为空, 放行所有来源 (开发模式, 生产请显式配置)');
-                return callback(null, true);
-            }
-            // 检查是否在允许列表
-            const isAllowed = allowedOrigins.some(allowedOrigin => {
-                if (allowedOrigin.startsWith('regex:')) {
-                    // 正则表达式匹配
-                    const pattern = allowedOrigin.replace('regex:', '');
-                    return new RegExp(pattern).test(origin);
-                }
-                return allowedOrigin === origin;
-            });
-            if (isAllowed) {
-                callback(null, true);
-            }
-            else {
-                console.warn(`[CORS] 拒绝来源: ${origin}`);
-                callback(new Error('不允许的来源'));
-            }
-        },
-        credentials: true,
-        methods: ['GET', 'POST', 'PUT', 'DELETE', 'OPTIONS'],
-        allowedHeaders: ['Content-Type', 'Authorization', 'X-Requested-With'],
-    };
-}
-// ===================== 请求审计日志 =====================
-const auditLogFile = path_1.default.join(__dirname, '../../logs/audit.log');
-/**
- * 确保日志目录存在
- */
-function ensureLogDir() {
-    const logDir = path_1.default.dirname(auditLogFile);
-    if (!fs_1.default.existsSync(logDir)) {
-        fs_1.default.mkdirSync(logDir, { recursive: true });
-    }
-}
-/**
- * 审计日志中间件
- */
-function auditLog() {
-    ensureLogDir();
-    return (req, res, next) => {
-        const startTime = Date.now();
-        // 记录响应完成
-        res.on('finish', () => {
-            const log = {
-                timestamp: new Date().toISOString(),
-                method: req.method,
-                path: req.path,
-                query: req.query,
-                ip: req.ip || req.connection.remoteAddress,
-                userAgent: req.get('user-agent'),
-                statusCode: res.statusCode,
-                responseTime: Date.now() - startTime,
-                userId: req.user?.walletAddress || 'anonymous',
-            };
-            // 写入日志文件
-            const logLine = JSON.stringify(log) + '\n';
-            fs_1.default.appendFile(auditLogFile, logLine, (err) => {
-                if (err)
-                    console.error('[Audit] 写入日志失败:', err);
-            });
-            // 控制台输出（可选）
-            if (process.env.LOG_LEVEL === 'debug') {
-                console.log('[Audit]', log.method, log.path, log.statusCode, `${log.responseTime}ms`);
-            }
-        });
-        next();
-    };
-}
-// ===================== 安全头部 =====================
-/**
- * 安全头部中间件
- */
-function securityHeaders() {
-    return (req, res, next) => {
-        // 防止 XSS 攻击
-        res.setHeader('X-XSS-Protection', '1; mode=block');
-        // 防止 MIME 类型嗅探
-        res.setHeader('X-Content-Type-Options', 'nosniff');
-        // 防止点击劫持
-        res.setHeader('X-Frame-Options', 'DENY');
-        // 内容安全策略 (baobei 15442: 扩 script-src/style-src 让 vue-i18n runtime 模板编译能跑)
-        // 治标: Vite production bundle 用 runtime 编译 (new Function), 需要 unsafe-eval; 真修是前端 runtime-only (见 baobei 清单)
-        res.setHeader('Content-Security-Policy', "default-src 'self'; " +
-            "script-src 'self' 'unsafe-inline' 'unsafe-eval'; " +
-            "style-src 'self' 'unsafe-inline'; " +
-            "img-src 'self' data: https:; " +
-            "font-src 'self' data:; " +
-            "connect-src 'self' ws: wss: https:; " +
-            "object-src 'none'; base-uri 'self'; frame-ancestors 'none'");
-        // 隐藏服务器信息
-        res.removeHeader('X-Powered-By');
-        next();
-    };
-}
-// ===================== 请求大小限制 =====================
-/**
- * 请求体大小限制
- */
-exports.requestSizeLimit = {
-    json: { limit: '1mb' }, // JSON 请求体最大 1MB
-    urlencoded: { limit: '1mb', extended: true }, // URL 编码请求体最大 1MB
-};
-// ===================== 环境变量验证 =====================
-/**
- * 验证必需的环境变量
- */
-function validateEnv() {
-    const required = ['JWT_SECRET'];
-    const missing = required.filter(key => !process.env[key]);
-    if (missing.length > 0) {
-        console.error('❌ 缺少必需的环境变量:', missing.join(', '));
-        console.error('请创建 .env 文件并设置这些变量');
-        process.exit(1);
-    }
-    // 检查是否使用默认 JWT 密钥
-    if (process.env.JWT_SECRET === 'trustchain-secret-key-2026') {
-        console.warn('⚠️  警告: 使用默认 JWT 密钥不安全！');
-        console.warn('⚠️  请在 .env 文件中设置 JWT_SECRET');
-    }
-    console.log('✅ 环境变量验证通过');
-}
+"use strict";
+/**
+ * Security Middleware - 安全中间件
+ *
+ * 功能：
+ * 1. IP 白名单验证
+ * 2. CORS 限制
+ * 3. 请求日志审计
+ * 4. 安全头部
+ */
+var __importDefault = (this && this.__importDefault) || function (mod) {
+    return (mod && mod.__esModule) ? mod : { "default": mod };
+};
+Object.defineProperty(exports, "__esModule", { value: true });
+exports.requestSizeLimit = void 0;
+exports.ipWhitelist = ipWhitelist;
+exports.createCorsOptions = createCorsOptions;
+exports.auditLog = auditLog;
+exports.securityHeaders = securityHeaders;
+exports.validateEnv = validateEnv;
+const fs_1 = __importDefault(require("fs"));
+const path_1 = __importDefault(require("path"));
+// ===================== IP 白名单 =====================
+/**
+ * 检查 IP 是否在 CIDR 范围内
+ */
+function isIPInCIDR(ip, cidr) {
+    // 简化实现，生产环境建议使用 ip-range-check 库
+    if (cidr.endsWith('/24')) {
+        const network = cidr.replace('/24', '');
+        const ipParts = ip.split('.');
+        const networkParts = network.split('.');
+        return ipParts[0] === networkParts[0] &&
+            ipParts[1] === networkParts[1] &&
+            ipParts[2] === networkParts[2];
+    }
+    return ip === cidr;
+}
+/**
+ * IP 白名单中间件
+ */
+function ipWhitelist(allowedIPs) {
+    return (req, res, next) => {
+        // 如果白名单为空，允许所有访问
+        if (!allowedIPs || allowedIPs.length === 0) {
+            return next();
+        }
+        const clientIP = (req.ip ||
+            req.connection.remoteAddress ||
+            req.headers['x-forwarded-for'] ||
+            'unknown')
+            .replace('::ffff:', ''); // IPv4 映射地址
+        const isAllowed = allowedIPs.some(ip => {
+            if (ip.includes('/')) {
+                return isIPInCIDR(clientIP, ip);
+            }
+            return clientIP === ip || clientIP.includes(ip);
+        });
+        if (!isAllowed) {
+            console.warn(`[Security] 拒绝访问: ${clientIP}`);
+            return res.status(403).json({
+                error: '禁止访问',
+                message: '您的 IP 不在白名单中'
+            });
+        }
+        next();
+    };
+}
+// ===================== CORS 配置 =====================
+/**
+ * 动态 CORS 配置
+ */
+function createCorsOptions(allowedOrigins) {
+    return {
+        origin: (origin, callback) => {
+            // 允许没有 origin 的请求（如移动 APP、Postman）
+            if (!origin)
+                return callback(null, true);
+            // 2026-08-13 kimi 打磨 (xiaomu 浏览器 500 根因): 同源/本机/局域网来源一律放行.
+            // 模块脚本会带 Origin — 自己服务的 UI 打自己的 API 必须是同源自通, 与 LAN 免密同一信任模型.
+            try {
+                const host = new URL(origin).hostname;
+                if (host === 'localhost' || host === '127.0.0.1' || host === '::1' || host === '[::1]' ||
+                    host.startsWith('192.168.') || host.startsWith('10.') || /^172\.(1[6-9]|2\d|3[01])\./.test(host) ||
+                    host.startsWith('fe80:') || host.startsWith('240') // 链路本地 + 国内公网 v6 段 (240e/2408/2409 等)
+                ) {
+                    return callback(null, true);
+                }
+            }
+            catch { /* 畸形 origin 继续走列表判断 */ }
+            // 空配置 fallback (baobei 15442): 没配 allowedOrigins 时放行, 不默默拒绝所有 (开发模式).
+            // 生产部署必须显式配 ALLOWED_ORIGINS (或依赖上面的 LAN 放行).
+            if (allowedOrigins.length === 0) {
+                console.warn('[CORS] ALLOWED_ORIGINS 为空, 放行所有来源 (开发模式, 生产请显式配置)');
+                return callback(null, true);
+            }
+            // 检查是否在允许列表
+            const isAllowed = allowedOrigins.some(allowedOrigin => {
+                if (allowedOrigin.startsWith('regex:')) {
+                    // 正则表达式匹配
+                    const pattern = allowedOrigin.replace('regex:', '');
+                    return new RegExp(pattern).test(origin);
+                }
+                return allowedOrigin === origin;
+            });
+            if (isAllowed) {
+                callback(null, true);
+            }
+            else {
+                console.warn(`[CORS] 拒绝来源: ${origin}`);
+                callback(new Error('不允许的来源'));
+            }
+        },
+        credentials: true,
+        methods: ['GET', 'POST', 'PUT', 'DELETE', 'OPTIONS'],
+        allowedHeaders: ['Content-Type', 'Authorization', 'X-Requested-With'],
+    };
+}
+// ===================== 请求审计日志 =====================
+const auditLogFile = path_1.default.join(__dirname, '../../logs/audit.log');
+/**
+ * 确保日志目录存在
+ */
+function ensureLogDir() {
+    const logDir = path_1.default.dirname(auditLogFile);
+    if (!fs_1.default.existsSync(logDir)) {
+        fs_1.default.mkdirSync(logDir, { recursive: true });
+    }
+}
+/**
+ * 审计日志中间件
+ */
+function auditLog() {
+    ensureLogDir();
+    return (req, res, next) => {
+        const startTime = Date.now();
+        // 记录响应完成
+        res.on('finish', () => {
+            const log = {
+                timestamp: new Date().toISOString(),
+                method: req.method,
+                path: req.path,
+                query: req.query,
+                ip: req.ip || req.connection.remoteAddress,
+                userAgent: req.get('user-agent'),
+                statusCode: res.statusCode,
+                responseTime: Date.now() - startTime,
+                userId: req.user?.walletAddress || 'anonymous',
+            };
+            // 写入日志文件
+            const logLine = JSON.stringify(log) + '\n';
+            fs_1.default.appendFile(auditLogFile, logLine, (err) => {
+                if (err)
+                    console.error('[Audit] 写入日志失败:', err);
+            });
+            // 控制台输出（可选）
+            if (process.env.LOG_LEVEL === 'debug') {
+                console.log('[Audit]', log.method, log.path, log.statusCode, `${log.responseTime}ms`);
+            }
+        });
+        next();
+    };
+}
+// ===================== 安全头部 =====================
+/**
+ * 安全头部中间件
+ */
+function securityHeaders() {
+    return (req, res, next) => {
+        // 防止 XSS 攻击
+        res.setHeader('X-XSS-Protection', '1; mode=block');
+        // 防止 MIME 类型嗅探
+        res.setHeader('X-Content-Type-Options', 'nosniff');
+        // 防止点击劫持
+        res.setHeader('X-Frame-Options', 'DENY');
+        // 内容安全策略 (baobei 15442: 扩 script-src/style-src 让 vue-i18n runtime 模板编译能跑)
+        // 治标: Vite production bundle 用 runtime 编译 (new Function), 需要 unsafe-eval; 真修是前端 runtime-only (见 baobei 清单)
+        res.setHeader('Content-Security-Policy', "default-src 'self'; " +
+            "script-src 'self' 'unsafe-inline' 'unsafe-eval'; " +
+            "style-src 'self' 'unsafe-inline'; " +
+            "img-src 'self' data: https:; " +
+            "font-src 'self' data:; " +
+            "connect-src 'self' ws: wss: https:; " +
+            "object-src 'none'; base-uri 'self'; frame-ancestors 'none'");
+        // 隐藏服务器信息
+        res.removeHeader('X-Powered-By');
+        next();
+    };
+}
+// ===================== 请求大小限制 =====================
+/**
+ * 请求体大小限制
+ */
+exports.requestSizeLimit = {
+    // 950KB 图片压缩阈值还要叠加 base64/JSON 字段开销，1MB 会在边界误伤正常进件。
+    json: { limit: '2mb' }, // JSON 请求体最大 2MB
+    urlencoded: { limit: '1mb', extended: true }, // URL 编码请求体最大 1MB
+};
+// ===================== 环境变量验证 =====================
+/**
+ * 验证必需的环境变量
+ */
+function validateEnv() {
+    const required = ['JWT_SECRET'];
+    const missing = required.filter(key => !process.env[key]);
+    if (missing.length > 0) {
+        console.error('❌ 缺少必需的环境变量:', missing.join(', '));
+        console.error('请创建 .env 文件并设置这些变量');
+        process.exit(1);
+    }
+    // 检查是否使用默认 JWT 密钥
+    if (process.env.JWT_SECRET === 'trustchain-secret-key-2026') {
+        console.warn('⚠️  警告: 使用默认 JWT 密钥不安全！');
+        console.warn('⚠️  请在 .env 文件中设置 JWT_SECRET');
+    }
+    console.log('✅ 环境变量验证通过');
+}
 //# sourceMappingURL=security.js.map