hhhge/NeteaseUrl
Archived
1
0 Fork 0
Code Issues Actions Packages Projects Releases Wiki Activity
72 Commits 1 Branch 0 Tags
064a89d726e12f7be04a4770115fe256caaab5d7
Commit Graph
5 Commits
Author SHA1 Message Date
snowy-yang 17b4a99680 test: golden 快照切换到 React 构建产物口径 
为什么：首页响应源从 Jinja2 渲染模板（去尾换行）变为
frontend/dist/index.html 原样字节，html_len/位移到 967 字节。
快照以固定产物名重建，docstring 同步更新口径说明。
 2026-09-27 18:35:07 +08:00
snowy-yang 70ca21974b refactor: 拆掉 auth_system 包内循环依赖，路径常量收敛到 db 单一来源 
为什么：auth_system 的 11 个子模块此前构成一个强连通分量——db.py 与 backup.py
为了「动态读取路径常量」而在模块级 `import auth_system`（包自身），而包 __init__
又再导出这两个子模块的全部符号，互相指成环。

这个环当前并不崩（实测 8/8 种导入姿势全通过），它的代价是**双绑定**：
`auth_system.DB_PATH is auth_system.db.DB_PATH` 初始为 True，但只 patch 其一
另一处不跟随。于是测试不得不把 4 个路径常量**两处都 patch**
（setattr(auth,...) + setattr(db,...)）——而漏 patch 的后果是静默写生产库，
commit fc7fc21 修的那次「黄金测试写进生产库」正是这么来的。

改法：让路径常量回归**模块属性单一来源**。
- db.py：删掉 `import auth_system`，内部改用本模块常量（DATA_DIR / DB_PATH /
  SECRET_KEY_PATH）。这些常量本就定义在本模块，绕道包属性纯属多余。
- backup.py：改用 `import auth_system.db as db` 做模块限定访问，路径走
  db.BACKUP_DIR / db.DB_PATH——保留动态读取能力，来源从「包属性」换成
  「db 模块」，与唯一来源一致。
  注意**不能**写成 `from . import db`：该形式在静态图里同时指向包本身与子模块，
  会把这个环重新连上（实测确实如此，SCC 从 11 降到 2 就卡住了）。
- admin_site.py：5 处 `auth.DB_PATH` / `auth.BACKUP_DIR`（auth 是包别名）同样
  改为经 db 模块访问。**这处不修就会出事**——它读的是包属性快照，而测试已改为
  patch db 模块，于是备份上传会静默落到生产 data/backups/（本次实测真的发生了，
  2 个 upload_*.db 已清理，副本留在临时目录）。
- 测试：7 个文件的 patch 目标从包属性迁到 auth_system.db.*。
- __init__.py：补注释说明这些常量在此只是 import 快照，禁止经包属性重定向。

验证：
- Tarjan 重算：非平凡强连通分量 11 → **0**（import 图已是 DAG）
- AST 全仓扫描：经包属性访问路径常量的点 **0 处残留**
- 行为：子进程内 patch auth_system.db.* 后，get_conn 连的库 / create_backup
  落盘目录 / get_secret_key 目标路径**三者全部跟随**
- 导入姿势回归 8/8 通过
- 门禁：ruff 0 · pyright 0 errors 0 warnings · pytest 175 passed
 2026-09-26 14:37:58 +08:00
snowy-yang fc7fc21284 test: 黄金契约测试改用站点库副本，不再写生产库 
tests/test_golden.py 的 fixture 直接指向 data/site.db 并注释为「只读」，但快照里
有 2 条 auth=user 的 POST /download（均返回 400），这条路径会 reserve_and_open
开账、失败后 settle_refund 退款——于是**每次 pytest 都往生产库插 2 行
billing_ledger**（status='rejected', reserved=1, refunded=1），并把该用户的
last_active 顶到测试时刻。

发现时生产库已累积 83 行这样的行（时间戳与历次 pytest 运行一一对应），库体积
也因此长了 2 个页（151552 → 159744）。净余额为 0（预扣 1、退款 1），不丢钱，
但污染台账与后台台账视图，而且让「跑测试不动生产数据」这个前提不再成立——
排查时无法再用「库指纹没变」来证明冒烟/测试是安全的。

改法：复制一份 data/site.db（含 -wal/-shm 边车文件）到 tmp_path，再把
auth_system.DB_PATH/DATA_DIR 与 core.db.DB_PATH/DATA_DIR 一并指向副本。
契约保真度不变（同一份真实数据、同一 schema），写入全部落在临时目录。
_session_for 也改为读 auth_system.DB_PATH，保证「造 Cookie」与「发请求」
命中的是同一个库（原先写死路径，换库后会静默读生产库拿到错误 login_seq）。

验证：改前改后各跑一次完整套件，data/site.db 的 sha1 / 体积 / mtime 三项完全
不变，billing_ledger 行数停在 83；144 passed；ruff All checks passed；
pyright 0 errors / 0 warnings。

注：生产库里既有的 83 行测试残留**未删除**（那是生产数据，需确认后再动）；
ledger 自带保留期清扫（auth_system/ledger.py 的 DELETE ... settled_at <= ?）
到期会自行回收。
 2026-09-26 13:21:26 +08:00
snowy-yang da3d013e9c chore: 清理前端与容器脚本中指向已删台账的过时编号 
模板/样式/脚本的注释里散落着「第 N 条」「F59」「P3-43」这类编号，它们指向的
修复验收台账与交接文档已在本轮删除——留着既检索不到、也对不上号，还让后来读
注释的人以为存在一份可查的编号清单。本次只动注释，正文零改动。

覆盖范围（全仓一致）：
- templates/index.html 163 处、static/site_auth.js 55 处，共 218 处编号整段摘除
  （含「第 N 条（Px）：」前缀与「（Fxx 短标签）」括号）。
- 容器/配置 16 处：docker-compose.yml、entrypoint.sh（F59 / 第 93 条 / 第 97 条）、
  Dockerfile（T7 / 第 97 条）、.dockerignore（T1 / 第 97 条 / 第 55 条 / P2-9）、
  .env.example（F59 / 第 100 条 / 「详见交接文档 F11」这条失效指引）、.gitignore（P3-41）。
- Python 4 处：core/config.py（D-1）、services/tasks.py（O-5×2）、services/_shared.py（O-5）
  ——上一轮 Python 侧清理的漏网。

为什么规则要收窄（两类误伤，实测踩到）：
1. 标签首字母不能用泛化的 [A-Z]：X5 是 QQ 浏览器内核、ES5 是 JS 版本，都不是编号。
   泛化后会把「微信 XWeb/X5、QQ 内置」改成「微信 XWeb/、QQ 内置」，把
   「Chromium <87 的老 X5 不识别 inset」改成「老 不识别」。现按本仓真实用过的
   任务族白名单收窄（A B C D F O P R S T U），X5/ES5 原样保留。
2. 括号内「编号 + 长说明」不能整段删：「（F51 只防了切歌，这里补同歌翻页）」
   整段删掉会连说明一起丢；现只摘编号、保留说明文字。

为什么同步改黄金契约快照：题头注释属于模板内容，改了注释首页字节数必然变
（466261 → 464333），tests/golden/responses.json 的 index 条目按既定流程刷新
html_len/html_sha256；并在 tests/test_golden.py 补一段说明，写清该条目记的是
「当前模板」而非 Flask 期数值、以及有意改模板后如何重算
（html_len = 文件字节数 - 1，sha256 = 文件去掉末尾换行后的哈希）。

验证（全部通过）：
- 与 HEAD 比对：剥离全部注释后的正文逐行一致（唯一差异是删掉了一处行尾空注释），
  行数不变、每行半角括号/引号数量不变 → 代码与字符串零改动；
- node --check 通过（静态 JS + index.html 内联脚本），<style> 块花括号平衡；
- 真实 uvicorn 冒烟：/health /user/status /api/topen → 200、/admin/site/backup/list → 403，
  /static/site_auth.js 响应体与本地文件 sha1 相同，/ 无「第 N 条」残留；
- ruff All checks passed；pyright 0 errors / 0 warnings；pytest 144 passed。
 2026-09-26 13:18:44 +08:00
snowy-yang 8446166120 refactor!: uv 管理环境 + 彻底删除技术债（Flask 与 requests 全部移除） 
## uv 环境管理
- pyproject.toml 声明 dependencies + [dependency-groups].dev，uv.lock 精确锁定
- 删除 requirements.txt / requirements-fastapi.txt / requirements-dev.txt
- .python-version = 3.12；Dockerfile 改用 uv sync --frozen（可复现构建）
- 新增 jinja2（首页渲染）

## 删除 Flask 技术债
- 从 main.py 用 ast 精确剥离 56 个 Flask 节点（路由/中间件/错误处理/启动），
  框架无关的服务层落为 services/runtime.py（MusicAPIService、下载/打包 worker、
  任务监控、缓存清扫），零 Flask 依赖
- 删除 main.py（4527 行）与 auth_routes.py（1050 行）
- auth_system.py 移除会话/请求上下文层（login_session/current_user/login_required/
  admin_required/_client_ip 等），保留数据与业务层
- 新增 core/net.py（IP 解析）、web/auth_state.py（登录锁定/2FA 票据/发码限流）
- FastAPI 侧改直接依赖 services.runtime，不再 import main
- web/app.py 去掉 Flask fallback；入口默认根路径模式（API_PREFIX 可选）

## 删除 requests 技术债
- 新增 core/sync_http.py：requests 风格的同步门面（底层 aiohttp 连接池，
  流式读取经有界队列背压），含 Session/headers/(connect,read) 元组超时兼容
- core/utils、auth_system、podcast_api、music_downloader、services 全部切换
- 实测真实下载 5.2MB 音频完整成功

## 质量门禁归零
- ruff：0 错误（B904 全部修复，不再忽略）
- pyright：0 错误（类型收窄修复）
- pytest：140/140（含 golden 契约回归、root 模式 66 项路径覆盖）
- 真实 uvicorn 启动：/health、/、/static、受保护端鉴权全部正确

新增 tests/golden/responses.json：删除 Flask 前捕获的 32 例响应快照，
FastAPI 逐字段复现——删除巨石后行为回归仍有硬证据。
 2026-09-26 11:10:17 +08:00