lislgosms/docs/code-quality-reassessment-20260828-v2.md

CMPP 平台代码质量复评报告 V2

• 报告日期：2026-08-28
• 复评时间：2026-08-28 12:38～12:57（Asia/Shanghai）
• 复评基线：3af145abe5eb8cae567bb18e29116b4940889258
• 对比基线：171c7d38e8f17de0dd83570603da316d47c0d015
• 分支状态：main，本地 HEAD 与 origin/main 一致
• 变更规模：58 个文件，新增 1,953 行、删除 487 行
• 复评范围：React/Vite 前端、NestJS API、Prisma/PostgreSQL、Redis、Go Gateway、自动化测试、依赖与仓库门禁、测试环境只读健康探测
• 明确未执行：提交、推送、部署、服务重启、数据库写入、短信发送、压力测试、MinIO 业务对象写入、预生产或生产环境操作

1. 复评结论

本次采用两个相互独立的结论，避免把“代码整改完成”和“环境可发布”混为一谈：

1. 代码整改：有条件通过。 上一版的两个 P0 已在源码、自动化测试和结构门禁层面关闭；前端分包、覆盖率门槛、Redis 状态存储、数据库配置 fail closed、mock 解耦等整改有效。
2. 发布就绪：待完整验收。 2026-08-28 12:50 在 Clash 虚拟网卡/代理开启状态下探测测试环境时曾连续返回 HTTP 502；关闭 Clash 后使用 curl --noproxy '*' 绕过代理直连，12:56 连续 3 次访问 /api/health 均返回 HTTP 200、status=ok，TCP 12026 端口可达，连接耗时约 10 ms、总响应约 19～28 ms。此前 502 判定属于本地网络代理干扰，不是测试环境运行故障。

当前代码质量综合参考分：82/100，较上一版 58/100 提升 24 分。该分数只表示仓库代码治理水平，不等价于功能验收通过率。

测试环境外部 API 健康探测已经恢复为通过；但在重新核对部署版本、内部服务/队列状态并完成真实后端与登录后浏览器复验前，仍不建议进入预生产发布。

2. 质量评级

维度	上版	本次	复评结论
业务正确性与并发设计	B	B+	API/Gateway 回归通过，核心幂等与队列逻辑保持；未重跑真实 CMPP 全链。
安全性	D	B+	可信租户上下文和强密码哈希已落地；重点写接口校验仍非全覆盖。
自动化测试	C	B-	API 47 套 543 项通过并建立覆盖率阈值；前端测试仍为 0。
前端性能	C-	B+	路由懒加载和 ECharts 按需加载生效，入口 gzip 降至 107.38 KiB。
可维护性	C	C+	mock 解耦和页面辅助逻辑拆分完成；两个 SendChain Service 仍超大，未建立 ESLint/Prettier。
数据库工程	B	B+	Prisma 校验通过，生产/测试缺少 DATABASE_URL 时 fail closed；本轮未做真实数据执行计划复测。
依赖与仓库卫生	C-	B-	根正式锁文件审计为 0；API 依赖树仍有 7 项公告，且未跟踪的旧 pnpm 锁文件会造成错误审计口径。
运行与发布就绪	未评	B-	绕过本地代理后测试环境外部 /api/health 连续 3 次返回 200；本次未独立核对内部服务、队列和登录后业务链。

3. 上一版问题关闭状态

编号	原级别	本次状态	判定依据
CQ-SEC-001 客户端租户可伪造	P0	已关闭（代码级）	会话中间件从数据库用户写入 sessionTenantId；客户端装饰器只读取可信上下文；伪造 header 返回 CLIENT_TENANT_MISMATCH；相关租户隔离测试通过。
CQ-SEC-002 无盐 SHA-256 密码	P0	已关闭（代码级）	使用随机 salt 的版本化 scrypt、恒定时间比较、参数上限解析；旧 SHA-256 只读兼容并在正确登录后透明升级；写路径和工具门禁已覆盖。
CQ-API-001 缺少运行时输入校验	P1	部分关闭	已新增严格 ValidationPipe 和重点客户端写 DTO；但未全局注册，部分凭据、Webhook、日志导出等写接口仍使用内联类型和裸 @Body()。
CQ-AUTH-001 验证码/失败计数进程内 Map	P1	基本关闭	已迁移 Redis TTL、GETDEL 和 Lua 原子计数，Redis 异常 fail closed；仍建议补 IP+账号双维度限流与容量指标。
CQ-FE-001 主包过大、无路由分包	P1	已关闭	全部业务页采用懒加载；ECharts 按需注册；入口 gzip 107.38 KiB，低于 250 KiB 门槛，最大异步图表包 181.64 KiB，低于 190 KiB 门槛。
CQ-TEST-001 测试与验收层级不足	P1	部分关闭	API 覆盖率阈值已建立且本轮通过；Gateway 测试通过；前端仍无测试，登录后浏览器和真实全链未完成。
CQ-DEP-001 两个 high advisory	P2	原问题已关闭	正式 package-lock.json 使用 React Router 7.18.2、NanoID 3.3.18；按该锁文件重建审计结果为 0。
CQ-MAINT-001 超大文件、无静态风格门禁	P2	部分关闭	页面辅助逻辑已拆分，增加结构质量脚本；两个 SendChain Service 仍为 86,253/53,421 字节，lint 实际为结构检查加 TypeScript，不是 ESLint/格式门禁。
CQ-CONFIG-001 数据库默认凭据	P2	已关闭	非 development/test 环境缺少 DATABASE_URL 时启动失败，不再静默使用默认生产连接。
CQ-ARCH-001 生产代码依赖 mock	P2	已关闭	类型已迁至 src/api/types，结构门禁禁止生产页面重新导入 mock。
CQ-REPO-001 仓库产物与审计基线不稳定	P2	部分关闭	*.tsbuildinfo 已停止跟踪并加入忽略；但工作区仍有未跟踪的 = 和过期 pnpm-lock.yaml。

4. 关键整改证据

4.1 可信租户上下文

• api/src/auth/session-validation.middleware.ts:70-72：客户端请求携带的租户头与登录用户租户不一致时返回 403，并将数据库用户租户写入 request.sessionTenantId。
• api/src/auth/current-tenant-id.decorator.ts:10-13：只允许 client portal 读取可信租户上下文，不再回退到请求头。
• 客户端认证、短信配置、账务、发送链、风险复核、用户等控制器已改用 @CurrentTenantId()。
• 管理端 @TenantId() 仍存在于 admin/files、admin/operation-logs、admin/billing 等管理路由中，不属于客户端授权依据；结构门禁已禁止客户端控制器回退使用旧装饰器。

判定：原 P0 的根因已消除。测试环境真实双租户结果在整改记录中有描述；本次只复核外部健康接口，没有重跑双租户矩阵，因此仍按代码级关闭记录。

4.2 密码存储与迁移

• api/src/auth/password-hasher.ts:1-82：版本化 scrypt、随机 salt、timingSafeEqual、参数边界和旧 SHA-256 识别均已实现。
• 旧哈希兼容写窗口被限制为最长 2 小时；正常写路径默认生成新格式。
• 登录成功后通过条件更新透明迁移旧哈希，错误密码不迁移。
• 单测覆盖随机盐、错误密码、旧哈希验证/迁移、畸形参数和兼容窗口边界。

判定：满足上一版“强哈希、版本参数、恒定时间比较、透明迁移”的最小关闭标准。测试环境仍保留的历史 SHA-256 数量来自整改记录，本次未直接查询数据库复核。

4.3 登录状态与输入校验

• api/src/auth/session.service.ts:129-163：验证码使用 Redis TTL，消费使用 GETDEL；失败计数使用 Redis Lua 原子逻辑。
• api/src/common/strict-validation.pipe.ts：启用 transform、whitelist 和 forbidNonWhitelisted。
• 重点客户端写接口已增加 class-validator DTO 和严格管道。
• api/src/open-api/client-open-api.controller.ts:15-18 的凭据/Webhook 写入，以及 api/src/operations/client-operations.controller.ts:78-84 的日志导出仍使用内联 body，未套用严格校验管道。

判定：验证码多实例一致性问题已关闭；输入校验只能判为阶段性完成，不能写成全 API 闭环。

4.4 前端性能

• src/routes/AppRoutes.tsx:10-74：业务页面统一路由级懒加载。
• src/components/ui/Chart.tsx:3-8：只注册实际使用的 ECharts 图表、组件和 Canvas renderer。
• 本次生产构建：入口 index-*.js 370.54 KiB，gzip 107.38 KiB；图表异步包 553.06 KiB，gzip 181.64 KiB。
• 包体预算脚本通过：入口不高于 250 KiB gzip，异步包不高于 190 KiB gzip。

判定：原主包 626.18 KiB gzip 的问题已实质关闭。Vite 仍提示图表 chunk 的未压缩体积超过 500 KiB，但其 gzip 体积在当前预算内，作为后续优化项而非阻断项。

4.5 数据库与工程配置

• API 正式构建通过。
• Prisma Schema validate 通过；仓库存在 95 个 migration 目录。
• 非开发/测试环境缺少 DATABASE_URL 时 fail closed。
• 本轮没有连接真实 PostgreSQL 执行 EXPLAIN (ANALYZE, BUFFERS)，也没有独立核对测试库 95/95 migration；相关运行态数据仅见整改记录。

5. 本次独立复测结果

检查项	本次结果
Git 基线	HEAD == origin/main == 3af145a...
工作区	仅发现既有未跟踪 =、pnpm-lock.yaml；未修改或删除
前端 TypeScript	通过
Vite production build	通过
Bundle budget	通过；入口 107.38 KiB gzip，最大异步包 181.64 KiB gzip
API TypeScript build	通过
Prisma validate	通过
API Jest	47/47 套、543/543 项通过
API 全源覆盖率	statements 59.84%，branches 51.29%，functions 60.15%，lines 62.60%
API 覆盖率门槛	通过；门槛分别为 59%、50%、60%、62%
Gateway go test ./... -count=1	通过
Gateway go vet ./...	通过
Gateway 队列契约	5/5 通过
代码质量结构检查	通过
依赖缓解/安全部署检查	通过
根正式锁文件生产依赖审计	0 个公告
API 正式锁文件生产依赖审计	7 个公告：2 moderate、5 high
前端自动化测试	0 个测试文件，未通过验收出口标准
测试环境 /api/health	通过；关闭 Clash 后绕过代理直连，连续 3 次 HTTP 200、status=ok
测试环境 TCP 12026	通过；可连接
测试环境 SSH 只读核验	未完成；当前凭据认证失败

覆盖率说明：整改结果文档记录的 69.77%/53.47%/71.08%/73.05% 使用 Jest 默认“已加载源码”口径；本报告显式使用 collectCoverageFrom=src/**/*.ts 的全源口径，得到 59.84%/51.29%/60.15%/62.60%。两个结果不是同一统计口径，不应直接比较。本次全源结果仍满足已设门槛，并略高于上一版全源基线。

依赖审计说明：工作区未跟踪的 pnpm-lock.yaml 固定了旧 React Router 7.18.1 和 NanoID 3.3.16，直接运行 pnpm audit 会错误报出上一版两个 high。按正式、已跟踪的 package-lock.json 在临时目录重建锁文件后，根项目审计为 0。该旧锁文件仍应由文件所有者确认后清理或更新，避免 CI/开发者误用。

6. 当前阻断项与剩余风险

运行探测校正：此前 502 为本地代理干扰，不构成缺陷

证据链

• 2026-08-28 12:50，在 Clash 虚拟网卡/代理开启状态下，PowerShell Web 请求曾连续返回 HTTP 502。
• 用户关闭 Clash 后，首次 PowerShell -NoProxy 请求出现一次 10 秒超时，随后请求开始恢复。
• 2026-08-28 12:56，使用 curl --noproxy '*' 明确绕过代理连续请求 3 次，均返回 HTTP 200 和 {"status":"ok","service":"cmpp-platform-api"}。
• 三次直连总响应时间分别约 28 ms、23 ms、19 ms，TCP 12026 检测为可连接。

校正结论

此前新增的 CQ-OPS-001 / P0 撤销，不计入缺陷和发布阻断。测试环境外部 API 当前可用，原整改记录中的 API 健康结论没有被本次复评推翻。

仍保留的验证边界

本次 SSH 凭据认证失败，因此没有独立读取部署标记、11 项服务状态、内部 Gateway health、Redis Stream pending/lag、migration 或服务器日志。这些项目继续引用整改发布记录，预生产前仍应在可用只读凭据下重新核对。后续私网健康探测应显式绕过系统代理，避免 Clash 等本地网络工具造成误判。

CQ-API-001 / P1：严格输入校验尚未覆盖全部写接口

当前采取“重点接口逐步接入”而非全局管道。凭据创建、Webhook 更新和日志导出等入口仍使用运行时会被擦除的内联 TypeScript 类型。建议先覆盖所有 client POST/PUT/PATCH/DELETE，再评估 admin 高风险写接口；为字段长度、URL、枚举、数组大小和额外字段补负向测试。

CQ-TEST-001 / P1：前端与真实环境验收未闭环

前端测试文件仍为 0；本轮没有可用登录态，无法验证登录后页面、控制台、请求、加载/空/错误/刷新状态。本次仅确认外部 API health，未重新执行真实 PostgreSQL、Redis、MinIO、Gateway 和 CMPP 联动复验。

CQ-DEP-002 / P1：API 依赖树仍有 7 项生产审计公告

按 api/package-lock.json 重建审计后为 2 moderate、5 high，涉及 ExcelJS 间接 UUID、Prisma 可选工具链、brace-expansion、Swagger 间接 js-yaml 等。公告并不等于当前业务路径全部可利用，但应建立“依赖路径、运行时是否打包/调用、可升级版本、兼容回归”的矩阵，不能只以根项目审计为 0 宣告供应链闭环。

CQ-MAINT-001 / P2：超大服务和有风格门禁仍未治理

send-inbound-entry.service.ts 约 84.2 KiB，send-gateway-submit.service.ts 约 52.2 KiB；职责仍集中。建议先补行为锁定测试，再按入站持久化、关联/去重、重试路由、下游投递和计费拆分。另应增加 ESLint 与 format check；当前 npm run lint 名称实际只执行结构脚本和 TypeScript 检查。

CQ-REPO-001 / P2：双锁文件口径仍可能误导审计

正式锁文件是 package-lock.json，但未跟踪 pnpm-lock.yaml 仍存在且版本过期。应先确认其归属，再选择唯一包管理器和唯一锁文件；本报告没有擅自删除或更新用户保留文件。

7. 发布建议

当前建议为：代码可进入下一轮验证，但暂停预生产发布。

最小充分关闭顺序：

1. 使用显式绕过系统代理的方式复核测试环境，并在可用只读凭据下核对实际部署标记、内部服务和队列状态。
2. 在测试环境重跑双租户隔离和旧密码透明迁移，不发送真实短信。
3. 补齐剩余客户端写接口 DTO/严格校验，并增加负向测试。
4. 建立最小前端测试集：登录、权限、路由懒加载失败、列表加载/空/错误、关键确认操作。
5. 对 API 7 项公告建立升级兼容矩阵；优先处理直接运行时路径。
6. 在单独任务中治理 SendChain 超大服务、ESLint/格式门禁和唯一锁文件。
7. 只有在真实 PostgreSQL、Redis、MinIO、Gateway/CMPP 模拟器和登录后浏览器证据齐全后，再申请预生产发布授权。

8. 最终判定

• 原 P0 代码问题：2/2 已关闭。
• 原 P1：2 项关闭或基本关闭，2 项部分关闭。
• 原 P2：3 项关闭，2 项部分关闭。
• 新增运行态阻断：0 项；此前 502 已确认是本地 Clash 代理干扰并撤销。
• 自动化门禁：除 API 子树依赖审计和前端测试缺失外，其余本次执行项通过。
• 代码质量：82/100，有条件通过。
• 当前发布就绪：待完整验收；无 502 运行态阻断。

本报告是对固定提交的独立复评和一次当前测试环境只读探测，不替代完整功能验收、生产安全评估或预生产发布审批。