签名面

独立 signer：业务机零钥、Session Key 代签下单，以及唯一盖 builderCode 的位置

2 min read2026-10-26

signerkmschannel-acustody

为什么拆签名面

下单由独立签名面代签，私钥不散落在业务机各服务里。services/signer 是唯一持钥 / 签单面：copier、account 只通过 HTTP 调用，业务机本地持钥路径已清除。跟单和终端的 builderCode 也只在 place_order 时由 signer 写入。

在 signer	不在业务服务
Session Key 在 KMS，maker 是用户的 Deposit Wallet。这把钥不能提款	用户的 owner 私钥。提现由浏览器签 `DepositWallet` batch
CLOB 下单提交（按接口契约）	在 copier 进程内直接签
本地不留私钥文件（生产不用 DevKms 回退）	业务机直连用户钥存储

本机全栈 compose 可同机跑 signer；生产常见形态是 独立签名机 + 受限网络（见仓库 docs/SIGNER_EC2_DEPLOY.md、docs/SIGNER_SPLIT_PLAN.md）。

Web → gateway → account（Session 授权 / 用户签提现）
TG → account / follow（不经 gateway）
信号 → follow → copier → signer.place_order
提现 → 用户 owner 签名，经 account 提交

通道 B 已下架

新单不再发给本机 daemon。signer 是当前唯一签单面。存量 daemon 协议见通道 B 下架。