diff --git a/README.md b/README.md index e278150..7f02bcd 100644 --- a/README.md +++ b/README.md @@ -25,7 +25,7 @@ Python 3.12 / Django 5.2 LTS + DRF / django-admin / 用户端 Django 模板 SSR ## 当前状态 -Phase 2 计费核心已完成，Phase 3 对外 API 与充值已完成到 T-306，Phase 4 用户端已完成 T-501~T-504：用户可通过 allauth 自助注册、邮箱验证、登录、登出，扫码充值并轮询到账，生成 / 删除（吊销）API Key，并查看余额、充值总额、充值记录与消费记录。下一步进入 T-401 运营后台完善。详见 [`docs/current-state.md`](docs/current-state.md)。 +Phase 2 计费核心已完成，Phase 3 对外 API 与充值已完成到 T-306，Phase 4 用户端已完成 T-501~T-504：用户可通过 allauth 自助注册、邮箱验证、登录、登出，扫码充值并轮询到账，生成 / 删除（吊销）API Key，并查看余额、充值总额、充值记录与消费记录。Phase 4 审核新增 T-505，下一步先处理用户端审核优化，再进入 T-401 运营后台完善。详见 [`docs/current-state.md`](docs/current-state.md)。 > ⚠️ 涉及资金/点数。改动充值、扣费、退款、对账相关代码前，先读 [`docs/05-coding-rules.md`](docs/05-coding-rules.md) 第 8 节与 [`docs/04-architecture.md`](docs/04-architecture.md) 第四节计费时序。 diff --git a/docs/00-ai-start-here.md b/docs/00-ai-start-here.md index 3bc8150..22d2d34 100644 --- a/docs/00-ai-start-here.md +++ b/docs/00-ai-start-here.md @@ -38,7 +38,7 @@ ## 当前阶段 -当前项目处于：**Phase 5 后台与发布**。Phase 2 计费核心已完成到 T-204；Phase 3 已完成 T-301 API Key 鉴权、T-302 生成标题 / 图片接口、T-303 余额查询接口、T-304 充值回调、T-305 扫码充值下单 + 轮询与 T-306 对外 API 安全加固；Phase 4 已完成 T-501 注册 / 登录（allauth）、T-502 API Key 自助管理页、T-503 个人中心 / 记录页与 T-504 充值页。下一步进入 T-401 运营后台完善。 +当前项目处于：**Phase 4 审核优化收尾**。Phase 2 计费核心已完成到 T-204；Phase 3 已完成 T-301 API Key 鉴权、T-302 生成标题 / 图片接口、T-303 余额查询接口、T-304 充值回调、T-305 扫码充值下单 + 轮询与 T-306 对外 API 安全加固；Phase 4 已完成 T-501 注册 / 登录（allauth）、T-502 API Key 自助管理页、T-503 个人中心 / 记录页与 T-504 充值页。Phase 4 审核新增 T-505，下一步先处理用户端审核优化，再进入 T-401 运营后台完善。 优先路径： @@ -46,8 +46,8 @@ 2. Phase 1：最高风险功能原型 —— T-101/T-102/T-103/T-104/T-105 已完成 provider 层、模型配置表、别名解析、配置审计、录制标题/图片 smoke 与审核修补；真实图片同步耗时待配置 Fernet 主密钥、AiModel/ModelAlias 与真实上游后在 T-302/T-403 前补测。 3. Phase 2：计费核心 —— T-201/T-202/T-203 已完成 UserWallet/ApiKey/PointsLedger/CallRecord、计费规则、汇率、计费计算、并发安全扣点与失败退点。 4. Phase 3：对外 API 与充值 —— T-301 Key 鉴权、T-302 生成接口、T-303 余额查询、T-304 充值回调、T-305 扫码下单与轮询、T-306 安全加固已完成。 -5. Phase 4：用户端（Django 模板 SSR）—— T-501 注册登录、T-502 API Key 管理、T-503 个人中心 / 记录页与 T-504 充值页已完成。 -6. Phase 5：后台与发布 —— 下一步 T-401 运营后台完善，随后做完整验收与部署 / 运行文档。 +5. Phase 4：用户端（Django 模板 SSR）—— T-501 注册登录、T-502 API Key 管理、T-503 个人中心 / 记录页与 T-504 充值页已完成；T-505 用户端审核优化为当前下一步。 +6. Phase 5：后台与发布 —— T-505 完成后进入 T-401 运营后台完善，随后做完整验收与部署 / 运行文档。 ## 领取任务规则 diff --git a/docs/06-tasks.md b/docs/06-tasks.md index c8ed21c..ad2af4d 100644 --- a/docs/06-tasks.md +++ b/docs/06-tasks.md @@ -65,6 +65,7 @@ | T-502 | API Key 自助管理页 | T-501, T-301 | 登录用户生成/删除 Key；明文只显示一次、库内只存哈希；列表只显示 prefix；删除即吊销，吊销后该 Key 调用 403（无效/不存在 Key 仍为 401） | DONE | | T-503 | 个人中心 / 记录页 | T-501, T-203 | 剩余点数、充值总额、充值记录、消费（调用）记录；数据与流水一致；仅见本人 | DONE | | T-504 | 充值页（扫码 + 轮询到账） | T-501, T-305 | 发起充值→展示二维码→轮询订单状态→到账后余额刷新；到账以回调为权威 | DONE | +| T-505 | Phase 4 用户端审核优化 | T-504 | 按 [`phase-4-review.md`](phase-4-review.md) 处理 **P2**（P2-1 Bootstrap/qrcode 自托管或加 SRI+crossorigin，断网 jsdelivr 后充值页仍可用；P2-2 记录页真正分页或明确截断提示，含 >50 条测试）；P3 登记到 T-401/T-403 或 Backlog。**无 P1，但按任务看板领取规则应先完成 T-505，再进入 T-401**；`check`/`test`/`init` 全绿并在 `../progress.md` 留证据 | TODO | ## Phase 5 · 后台与发布 diff --git a/docs/README.md b/docs/README.md index 4da08b3..79ce3a5 100644 --- a/docs/README.md +++ b/docs/README.md @@ -24,6 +24,7 @@ - [Phase 1 AI 层审核](phase-1-review.md)：T-101~104 代码审核结论与修补清单（P1/P2/P3），对应任务 T-105；重点提示图片同步风险未退与 `parameters` 越权计费隐患。 - [Phase 2 计费核心审核](phase-2-review.md)：T-201~203 代码审核结论（资金安全逐条核对）与加固清单（**零 P1**，P2/P3），对应任务 T-204。 - [Phase 3 对外 API 与充值审核](phase-3-review.md)：T-301~305 代码审核结论（鉴权/回调/幂等/入账逐条核对）与优化建议，对应任务 T-306；**P1 提示 `image_url` SSRF 上线前必修**。 +- [Phase 4 用户端审核](phase-4-review.md)：T-501~504 代码审核结论（注册不送点/越权/CSRF/明文只显一次/到账以回调为权威逐条核对）与优化建议（**零 P1**，P2/P3），对应任务 T-505。 - [API 合约](api.md)：对外接口、支付回调、AI 调用模块合约、错误码。 - [路由与页面结构](routes.md)：API 路由与 django-admin 后台职责。 - [环境变量与配置](env.md)：Django、数据库、AI 密钥加密、支付、对象存储等配置项。 diff --git a/docs/current-state.md b/docs/current-state.md index 2c5a1cb..53dc41e 100644 --- a/docs/current-state.md +++ b/docs/current-state.md @@ -12,7 +12,7 @@ ## 当前快照 - 日期：2026-07-03 -- 阶段：Phase 5 后台与发布；Phase 3 对外 API 与充值已完成到 T-306，Phase 4 用户端 T-501 注册 / 登录（allauth）、T-502 API Key 自助管理页、T-503 个人中心 / 记录页与 T-504 充值页已完成，下一步 T-401 运营后台完善 +- 阶段：Phase 4 审核优化收尾；Phase 3 对外 API 与充值已完成到 T-306，Phase 4 用户端 T-501 注册 / 登录（allauth）、T-502 API Key 自助管理页、T-503 个人中心 / 记录页与 T-504 充值页已完成，Phase 4 审核新增 T-505，下一步 T-505 用户端审核优化，完成后进入 T-401 运营后台完善 - 技术栈：系统 Python 3.12.3 + Django 5.2.15 + DRF 3.16.1 + django-allauth 65.18.0 + PyMySQL 1.1.3 + cryptography 46.0.7 + requests 2.34.2 + django-admin；MySQL 8.4 已接入 settings，并支持 `MYSQL_CONNECT_TIMEOUT` / `MYSQL_READ_TIMEOUT` / `MYSQL_WRITE_TIMEOUT`；用户端已用 Django 模板 SSR + Bootstrap + allauth 落地注册登录；详见 `03-tech-stack.md` - 生产代码：已有最小 Django 工程骨架：`manage.py`、`config/`；T-002 已创建 `apps/users|portal|billing|ai|api`；T-003 已把自定义 `User` 注册进 django-admin；T-004 已完成 email 唯一性、init 版本断言、app 顺序、`.env.example` 与 `pyproject.toml`；T-101 已新增 `apps/ai/providers/`（Provider 接口、注册表、chat/gemini/images/images_edits 适配器）；T-102 已新增 `AiModel` / `ModelAlias`、Fernet 加密密钥存储、别名解析、admin 配置页、`import_ai_models` 导入命令；T-103 已新增 `AiConfigAuditLog` 审计表、admin 只读页面和后台保存/删除审计 hook；T-104/T-105 已完成录制 title/image smoke 与审核修补；T-201 已新增 `UserWallet` / `ApiKey`、`PointsLedger` / `CallRecord`、对应 admin 与迁移；T-202 已新增 `PricingRule` / `ExchangeRate`、`apps.billing.pricing` 计费计算函数、admin 配置页与迁移；T-203 已新增 `apps.billing.services`，实现并发安全预扣、成功确认与幂等失败退点；T-204 已新增 `billing.0003_pointsledger_unique_ledger_change_type_per_call`，用 MySQL 可落地的 `ref_call + change_type` 复合唯一约束兜底防重复 refund；T-301 已新增 `apps.api.authentication.ApiKeyAuthentication` 与 `ExternalApiView`；T-302 已新增生成接口编排、序列化器、图片本地存储和 `/api/v1/generate/title|image` 路由；T-303 已新增 `apps.billing.services.get_balance_snapshot()` 与 `/api/v1/balance` 余额查询接口；T-304 已新增 `RechargeOrder`、充值回调验签适配器、幂等入账服务、微信/支付宝回调路由与迁移 `billing.0004_rechargeorder_and_more`；T-305 已新增 `create_recharge_order()`、微信/支付宝扫码下单 mock/SDK 入口、`/api/v1/recharge/create` 与 `/api/v1/recharge/status`；T-306 已新增 `apps.api.throttles`、`apps.api.exceptions`、`REST_FRAMEWORK` 安全默认认证、生成/认证失败限流、`image_url` SSRF 防护与响应大小上限、充值单笔金额上限；T-501 已接入 allauth，新增 portal 路由、注册适配器、登录/注册/登出模板和最小 dashboard，注册成功创建 0 点钱包且不写赠点流水；T-502 已新增 `/apikeys`、API Key 创建表单、列表页和删除（吊销）动作，生成后明文只显示一次，列表只显示 prefix；T-503 已扩展 `/dashboard` 为个人中心汇总，并新增 `/records/recharge` 充值记录与 `/records/usage` 消费记录，只读展示当前用户数据；T-504 已新增 `/recharge` 页面、`RechargeCreateForm`、充值导航入口和轮询脚本，页面创建 pending 订单、展示二维码票据、轮询 `/api/v1/recharge/status`，订单 paid 后刷新余额 - 测试：T-504 已验证：`./init.ps1` 开工前通过；`py -3.12 -m py_compile apps\portal\forms.py apps\portal\views.py apps\portal\urls.py apps\portal\tests.py` 通过；`py -3.12 manage.py check` 通过；`py -3.12 manage.py makemigrations --check --dry-run` 无变化；`py -3.12 -m compileall apps config` 通过；`py -3.12 manage.py test apps.portal --noinput --keepdb --verbosity 2` 通过（19 tests OK）；`py -3.12 manage.py test apps.users apps.portal apps.api --noinput --keepdb --verbosity 2` 通过（60 tests OK）；`./init.ps1` 收尾通过；`git diff --check` 通过（仅 Windows CRLF 提示）。测试/迁移阶段仍有 allauth `account.EmailAddress` 条件唯一约束在 MySQL 上不可创建的 `models.W036` 警告；本项目用户账本唯一性由 `user.email` 唯一约束承担。 @@ -44,7 +44,7 @@ - 已完成：T-001 初始化 Django + DRF 项目骨架；T-002 建立 apps 目录、自定义 User 与配置；T-003 接通 django-admin 与最小测试；T-004 Phase 0 骨架审核修补；T-101 Provider 适配器层 + 移植 cmbot 调用；T-102 AiModel + ModelAlias 模型 + 别名解析；T-103 配置变更审计；T-104 跑通一次录制标题生成；T-105 Phase 1 AI 层审核修补；T-201 User / UserWallet / ApiKey / PointsLedger / CallRecord 模型；T-202 PricingRule / ExchangeRate 模型 + 计费计算；T-203 并发安全扣点 / 退点；T-204 Phase 2 计费核心审核加固；T-301 API Key 鉴权；T-302 生成标题 / 图片接口；T-303 余额查询接口；T-304 充值回调；T-305 扫码充值下单 + 轮询；T-306 Phase 3 对外 API 安全加固；T-501 注册 / 登录（allauth）；T-502 API Key 自助管理页；T-503 个人中心 / 记录页；T-504 充值页（扫码 + 轮询到账）。 - 正在进行：无。 - 当前 blocker：远程 MySQL 连接当前不稳定或很慢；支付商户真实密钥/证书与生产 SDK 依赖仍待提供；真实 AI 上游 smoke 仍需配置密钥和模型数据后执行。 -- 下一个可领取任务：**T-401 运营后台完善**。 +- 下一个可领取任务：**T-505 Phase 4 用户端审核优化**；完成后进入 **T-401 运营后台完善**。 ## 当前可运行内容 @@ -97,7 +97,7 @@ python3.12 manage.py smoke_ai_generation image --recorded 1. 读仓库级 `AGENTS.md` / `CLAUDE.md`。 2. 读 `docs/00-ai-start-here.md`。 3. 读 `docs/05-coding-rules.md`（尤其第 8 节资金安全）。 -4. 在 `docs/06-tasks.md` 领取第一个 `TODO` 且依赖均 `DONE` 的任务（当前为 T-401）。 +4. 在 `docs/06-tasks.md` 领取第一个 `TODO` 且依赖均 `DONE` 的任务（当前为 T-505）。 5. 将该任务状态改为 `DOING`。 ## 维护规则 diff --git a/docs/phase-4-review.md b/docs/phase-4-review.md new file mode 100644 index 0000000..e698f27 --- /dev/null +++ b/docs/phase-4-review.md @@ -0,0 +1,71 @@ +# Phase 4 用户端审核报告（T-501 ~ T-504） + +> 审核人：Claude Code（全栈视角）｜日期：2026-07-03｜结论：**功能验收全部达标，测试覆盖极全，零 P1（无安全/资金/越权缺陷）**。 +> Phase 4 是自助用户端（Django 模板 SSR + allauth）。逐条比对验收：注册不送点数、session+CSRF、越权（IDOR）防护、API Key 明文只显一次、吊销后调用 403、记录仅见本人、充值到账以回调为权威——**全部正确落地且有专测**。剩余为前端资源与 UX 优化项（P2/P3）。 +> 本文面向 codex 执行：每条给出「症状 / 位置 / 怎么改 / 怎么验证」。修补任务见 [`06-tasks.md`](06-tasks.md) 的 **T-505**；按任务看板领取规则，当前应先完成 T-505，再进入 T-401。 + +## 一、验收核对（功能全部达标） + +| 任务 | 验收要点 | 结果 | +| --- | --- | --- | +| T-501 | 自助注册（邮箱验证）、登录、登出；注册后钱包 0 点（不送点数）；session+CSRF | ✅ 注册建 0 点钱包且**不写 `PointsLedger`**（专测）；未验证邮箱不能登录；登录 POST CSRF 保护 | +| T-502 | 生成/删除 Key；明文只显一次、库内只存哈希；列表只显 prefix；删除即吊销、吊销后调用 403 | ✅ 全部专测覆盖，含「删除→外部 API 返回 403」与「不能删他人 Key」（IDOR） | +| T-503 | 剩余点数、充值总额、充值/消费记录；数据与流水一致；仅见本人 | ✅ 余额/汇总同源于流水；三处记录页均按 `user=request.user` 过滤（专测越权） | +| T-504 | 发起充值→二维码→轮询→到账刷新；到账以回调为权威 | ✅ 下单**不加点不写流水**（专测）；轮询 T-305 status 端点；paid 后 reload；入账仍走幂等回调/查单 | + +## 二、做对的（勿在修补中回退） + +1. **注册不送点数、且不留误导流水**：`CmhubAccountAdapter.save_user` 在事务内 `get_or_create` 建 `points_balance=0` 钱包，**刻意不写任何 `PointsLedger`**（避免被误解为赠点）；专测断言注册后 0 点、无流水。顺带解决了 Phase 2 P3「钱包应在注册时创建」——precharge 不再依赖热路径建钱包。 +2. **越权（IDOR）防护到位**：删除 Key 用 `get_object_or_404(ApiKey, pk=pk, user=request.user)`（他人 Key 返回 404 不泄露存在性）；所有记录/订单查询一律 `filter(user=request.user)`；充值页 `current_order` 也按 user 过滤。每条都有「只见本人」专测。 +3. **API Key 明文只显一次**：生成后 `raw_key` 存入 session，下次渲染 `session.pop` 取出展示后即清除（PRG 模式）；刷新不再出现；库内只存 `key_hash`+`key_prefix`。专测断言明文只显一次、库内只存哈希。 +4. **删除=吊销（软删）**：`status→revoked` 而非物理删除，保留审计与 `CallRecord` 关联；吊销后外部 API 返回 403（与 T-301 口径一致：revoked→403、缺失/无效→401）。codex 主动修正了任务原文的「401」为正确的「403」。 +5. **session+CSRF 全覆盖**：所有页面 `LoginRequiredMixin`；所有 POST 表单带 `{% csrf_token %}`；登录、建/删 Key、充值下单的 CSRF 都有专测。 +6. **充值到账以回调为权威**：下单只建 `pending` 订单、**不碰余额**；前端轮询 `api-recharge-status`（`same-origin` 会话），status 端点内部对 pending 单走 `query_and_apply_recharge_payment`（复用幂等、金额校验的 `apply_recharge_payment`）；paid 后 reload 刷新余额。资金入账始终经计费层，页面只读。 +7. **记录与流水同源**：余额用 `get_balance_snapshot()`；充值总额按 paid `RechargeOrder.amount_money`；入账/消费按 `PointsLedger` 汇总；`net_used_points = 消费 − 退款`（退款 delta 为正、消费取绝对值，口径正确）。 +8. **用当前 allauth API**：`ACCOUNT_LOGIN_METHODS` / `ACCOUNT_SIGNUP_FIELDS`（65.x 新式设置）、`ACCOUNT_EMAIL_VERIFICATION="mandatory"`、`ACCOUNT_UNIQUE_EMAIL`，与 T-201 的 `User.email` 唯一约束对齐。未引入 crispy-forms（MVP 保持轻）。 + +## 三、优化建议 / 修补清单 + +### P1 · 现在改 + +**无。** 用户端零 P1——越权、CSRF、注册不送点、明文只显一次、吊销 403、到账以回调为权威全部正确且有测试。以下为前端资源与 UX 优化。 + +### P2 · 建议处理 + +#### P2-1 外部 CDN 无 SRI + 国内可用性（含支付页） + +- **症状**：`base.html` 从 jsdelivr 加载 Bootstrap CSS、`recharge.html` 从 jsdelivr 加载 `qrcode.min.js`，**均无 `integrity`（SRI）/`crossorigin`**。两个问题： + 1. **供应链/XSS**：无 SRI 的 `