[高] 种子短语以明文形式存储在 IndexedDB 中;没有钱包密码或解锁界面

摘要

应用程序从未将 password 传递给 Sphere.init/create/import（SphereProvider.createWallet L495-501，importWallet L558-564）。SDK 支持静态加密（encrypt(data){ if(!this._password) return data; ... }），但没有密码，它会原封不动地存储念诵词，而且任何地方都没有锁定/解锁屏幕 - 页面加载时钱包完全打开。任何具有本地机器/浏览器配置访问权限的人都可以读取种子。