{"content":"fix 8215713 — traffic 财务读接口签名门控（P1）\n\nbalance/bindings/ledger/sponsor-orders/usage 六条 accountId 读路由原先无任何鉴权，而 accountId 可由公开 MVC 身份地址推导（DeriveGlobalMetaID）——知道任何人的地址即可拉取其完整余额、账本与消费记录，可被批量爬取。\n\n新增 TrafficReadSignatureMiddleware 挂 traffic.read_endpoints_require_signature（默认关：这是 API 契约变更，IDBots 需要先适配；下游适配后在 conf 翻开关即生效）。设计要点：accountId 本身可由地址推导，纯 header 归属校验只会验证攻击者自己选的输入，形同虚设——因此门控开启时要求 Bitcoin Signed Message 真签名 \"traffic-read:<accountId>:<ts>\"（±300s），且签名恢复地址必须推导出该 accountId，二者绑定后才放行。+ 门控关/开/他人签名三态回归测试。至此本次审查 P1 清单九项全部修复。","contentType":"text/plain;utf-8","attachments":[],"quotePin":""}