修复：数据文件损坏时不再静默覆盖销毁凭证 (v1.15.1)

- store.load() 原先对「文件不存在」和「文件损坏」一视同仁：损坏时退回空默认值，
  再走到末尾无条件 save()，把含站点令牌/密码的 stations.json 覆盖成空，永久丢失且无备份
- 现区分三种情况：文件不存在→首次启动创建默认值（不变）；JSON 解析失败→原始内容
  备份为 stations.json.corrupt-<时间戳>(0600) 并中止启动，原文件一字节不动；其它读取
  错误（权限/IO，可能是暂时性）→中止启动，不覆盖
- server.js 启动处捕获后打印 [致命] 信息并 exit(1)，不再抛未处理的 rejection 堆栈

Author: lettimepassby

lib/store.js

@@ -67,9 +67,34 @@ export class Store {
   }
 
   async load() {
+    let raw = null;
     try {
-      const raw = await readFile(this.file, "utf8");
-      const parsed = JSON.parse(raw);
+      raw = await readFile(this.file, "utf8");
+    } catch (err) {
+      // 文件不存在（ENOENT）→ 首次启动，走默认值并在末尾创建文件。
+      // 其它读取错误（权限/IO，可能是暂时性的）→ 文件可能仍在，绝不用空默认值覆盖，
+      // 直接中止启动，交由运维排查后重启，避免销毁现有站点令牌/密码。
+      if (err.code !== "ENOENT") {
+        throw new Error(
+          `读取数据文件失败（${err.code}）：${err.message}。已中止启动以避免覆盖现有数据，请排查后重启。`
+        );
+      }
+    }
+    if (raw != null) {
+      let parsed;
+      try {
+        parsed = JSON.parse(raw);
+      } catch (err) {
+        // 文件已损坏：绝不静默退默认值再在末尾 save() 覆盖——那会永久销毁含令牌/密码的凭证。
+        // 先把原始内容备份为带时间戳的副本，再中止启动；原文件保持不动，
+        // 运维修复或删除 stations.json 后重启即可（重启前不会有任何写覆盖）。
+        const backup = `${this.file}.corrupt-${Date.now()}`;
+        await writeFile(backup, raw, { mode: 0o600 }).catch(() => {});
+        throw new Error(
+          `数据文件损坏，无法解析（${err.message}）。原始内容已备份为 ${backup}。` +
+          `已中止启动以避免覆盖凭证，请修复或删除 ${this.file} 后重启。`
+        );
+      }
       this.data = {
         stations: Array.isArray(parsed.stations) ? parsed.stations : [],
         settings: { ...DEFAULT_SETTINGS, ...(parsed.settings || {}) },
@@ -79,8 +104,6 @@ export class Store {
           rules: { ...DEFAULT_RULES, ...(parsed.notifications?.rules || {}) },
         },
       };
-    } catch {
-      // 文件不存在或损坏：使用默认值并写入
     }
     // 迁移：历代固定成本字段（fixedMonthlyCny / fixedCostCny+fixedDays+fixedStartDate）
     // 统一为付费记录数组 fixedPurchases

package.json

@@ -1,6 +1,6 @@
 {
   "name": "relay-monitor",
-  "version": "1.15.0",
+  "version": "1.15.1",
   "private": true,
   "description": "监控 sub2api / new-api 中转站余额的网页面板",
   "type": "module",

server.js

@@ -28,7 +28,14 @@ const APP_INFO = {
 };
 
 const store = new Store(join(__dirname, "data", "stations.json"));
-await store.load();
+try {
+  await store.load();
+} catch (err) {
+  // 数据文件损坏/不可读：store.load() 已备份并中止，此处打印致命信息并退出，
+  // 绝不带着空状态继续运行（那会覆盖掉现有站点凭证）。
+  console.error(`\n[致命] ${err.message}\n`);
+  process.exit(1);
+}
 const history = await new History(join(__dirname, "data", "history.json")).load();
 const sessions = await new SessionManager(join(__dirname, "data", "secret.key")).init();