feat(routes): 迁移下载/批量打包/播客下载（账本事务）+ 修密钥绑定缺陷

迁移端点： - POST /api/v1/download（单曲：file 后台任务 / json 同步交付+结算） - POST /api/v1/download/batch_zip（按去重歌曲数计费） - POST /api/v1/podcast/download、/podcast/download/batch_zip - 新增 web/billing.py（预扣+开账同事务 / 只退 open 行 / rename 承接）与 web/tasks_registry.py（任务登记/容量闸/账本撞名重试，与 main 同口径） - worker 仍复用 main 既有实现（无 flask 依赖），账本与交付语义不变修复我引入的真实缺陷： - download 参数校验分支（ID/音质/格式非法）漏退款 → 预扣泄漏。改为统一 _fail() 退款 - web/routers/{auth,register}.py 在导入期绑定 deps.secret_key，导致 patch web.deps.secret_key 无效、且测试顺序相关。改为调用期 deps.secret_key() 解析测试：tests/test_download_billing.py 7 项沙箱用例如实断言账本守恒（预扣必退、无 open 行残留、次数不足不建任务）；全套 pytest 69/69（顺序无关）；ruff All checks passed；pyright 0 errors；奇偶 36/36。
2026-09-26 10:13:16 +08:00
1 parent fb40b2132c
commit 9df0028195
@@ -0,0 +1,141 @@
+# -*- coding: utf-8 -*-
+"""下载/计费端点沙箱测试（不触碰生产 data/site.db）。
+
+重点验证账本守恒：
+- 未登录 401
+- 无效歌曲 ID：400 且**预扣已退**（账本不留 open 行、余额不变）
+- 次数不足：401/expired 且不建任务
+- 批量超 500：400 且退款
+- 参数校验失败各分支均按「只退 open 行」退费
+"""
+import pytest
+from fastapi.testclient import TestClient
+
+import auth_system as auth
+import core.db as db
+
+SECRET = 'download-test-secret'
+PW = 'Passw0rd12'
+
+
+@pytest.fixture()
+def env(tmp_path, monkeypatch):
+    db_path = tmp_path / 'site.db'
+    monkeypatch.setattr(auth, 'DATA_DIR', tmp_path)
+    monkeypatch.setattr(auth, 'DB_PATH', db_path)
+    monkeypatch.setattr(auth, 'BACKUP_DIR', tmp_path / 'backups')
+    monkeypatch.setattr(auth, 'SECRET_KEY_PATH', tmp_path / 'secret.key')
+    monkeypatch.setattr(db, 'DATA_DIR', tmp_path)
+    monkeypatch.setattr(db, 'DB_PATH', db_path)
+    auth.init_db()
+    # 单一密钥源：web 层统一经 web.deps.secret_key 取密钥（调用期解析），
+    # patch 它即让登录签发与依赖校验同源
+    monkeypatch.setattr('web.deps.secret_key', lambda: SECRET)
+
+    # 造 3 次余额用户 + 0 次余额用户
+    auth.create_user('payer', PW, email='p@example.com', credits=3)
+    auth.create_user('broke', PW, email='b@example.com', credits=0)
+    auth.create_user('rich', PW, email='r@example.com', credits=600)
+
+    from web.app import create_app
+    return TestClient(create_app())
+
+
+def _login(env, username):
+    """登录并返回 (cookie_value, body)。
+
+    直接取 Set-Cookie 原始值并用 Cookie 头携带——httpx 的 cookie jar 会对含
+    base64 padding('=') 的值加双引号，导致服务端签名解析失败（真实浏览器不会），
+    故测试避开 jar。
+    """
+    r = env.post('/api/v1/auth/login', json={'username': username, 'password': PW})
+    assert r.status_code == 200, r.text
+    raw = r.headers.get('set-cookie', '')
+    cookie = ''
+    for part in raw.split(';'):
+        if part.strip().startswith('session='):
+            cookie = part.strip()[len('session='):]
+            break
+    assert cookie, f'no session cookie in: {raw!r}'
+    return cookie, r.json()
+
+
+def _balance(username):
+    u = auth.get_user_by_name(username)
+    return int(u['duration_seconds'] or 0)
+
+
+def _open_ledger_rows():
+    conn = auth.get_conn()
+    rows = conn.execute("SELECT task_id, reserved, status FROM billing_ledger WHERE status='open'").fetchall()
+    conn.close()
+    return [dict(r) for r in rows]
+
+
+def test_download_requires_login(env):
+    r = env.post('/api/v1/download', json={'id': '347230'})
+    assert r.status_code == 401
+
+
+def test_download_bad_id_refunds(env):
+    ck, _ = _login(env, 'payer')
+    H = {'Cookie': f'session={ck}'}
+    before = _balance('payer')
+    r = env.post('/api/v1/download', json={'id': 'not-a-number'}, headers=H)
+    assert r.status_code == 400
+    assert '无效' in r.json()['message']
+    # 预扣已退回，且无 open 账本行残留
+    assert _balance('payer') == before
+    assert _open_ledger_rows() == []
+
+
+def test_download_bad_quality_refunds(env):
+    ck, _ = _login(env, 'payer')
+    H = {'Cookie': f'session={ck}'}
+    before = _balance('payer')
+    r = env.post('/api/v1/download', json={'id': '347230', 'quality': 'nope'}, headers=H)
+    assert r.status_code == 400
+    assert _balance('payer') == before
+    assert _open_ledger_rows() == []
+
+
+def test_download_bad_format_refunds(env):
+    ck, _ = _login(env, 'payer')
+    H = {'Cookie': f'session={ck}'}
+    before = _balance('payer')
+    r = env.post('/api/v1/download', json={'id': '347230', 'format': 'xml'}, headers=H)
+    assert r.status_code == 400
+    assert _balance('payer') == before
+
+
+def test_download_insufficient_credits(env):
+    ck, _ = _login(env, 'broke')
+    H = {'Cookie': f'session={ck}'}
+    r = env.post('/api/v1/download', json={'id': '347230'}, headers=H)
+    assert r.status_code == 401
+    assert r.json().get('error_code') == 'expired'
+    # 未开账
+    assert _open_ledger_rows() == []
+
+
+def test_batch_zip_too_many_refunds(env):
+    # 需足够余额才能为「封顶 500」预扣成功，再验证 400 时把 500 全额退回
+    ck, _ = _login(env, 'rich')
+    H = {'Cookie': f'session={ck}'}
+    before = _balance('rich')
+    ids = ','.join(str(1000 + i) for i in range(501))
+    r = env.post('/api/v1/download/batch_zip', json={'ids': ids}, headers=H)
+    assert r.status_code == 400
+    assert '500' in r.json()['message']
+    # 预扣（封顶 500）已全额退回，余额回到 600
+    assert _balance('rich') == before
+    assert _open_ledger_rows() == []
+
+
+def test_batch_zip_missing_ids_refunds(env):
+    ck, _ = _login(env, 'payer')
+    H = {'Cookie': f'session={ck}'}
+    before = _balance('payer')
+    r = env.post('/api/v1/download/batch_zip', json={}, headers=H)
+    assert r.status_code == 400
+    assert _balance('payer') == before