shaw
dec47e8fae
审计修复，逐条如下。 H1 利润策略泄露给所有普通用户 profit_control_enabled / profit_min_margin / profit_safety_buffer 从 dto.Group 移到 dto.AdminGroup（后者内嵌前者），赋值相应从 groupFromServiceBase 移到 GroupFromServiceAdmin；前端 TS 同步从 Group 移到 AdminGroup。dto.Group 是 GET /api/v1/groups/available 的响应体，该响应本就带 rate_multiplier，相乘即可反推运营方上游采购成本上限。 api_contract_test.go 的 /groups/available golden JSON 回滚这三个字段，并把 fixture 改成非零值（require.JSONEq 是精确比对，缺字段即失败）。 新增 dto 层边界测试：普通用户 DTO 不含三字段、管理员 DTO 仍含。 M1 利润终检 continue 与 failover 503 退避互动产生活锁 FailoverState 新增 profitVetoedAccountIDs / profitVetoCount 与 RecordProfitVeto()：加入排除集 + 计数，达 maxProfitVetoAttempts(10) 返回 FailoverExhausted。HandleSelectionExhausted 的 503 清空分支改为清空后把利润 否决的账号放回排除集；若排除集已全部由利润否决贡献，清空不会带来任何新候选， 直接判定耗尽（否则 SwitchCount 永不前进、退避条件永远成立，每 2s 空转一轮）。 五个 handler 否决点（gateway_handler ×2 / responses / chat_completions / gemini_v1beta）改为经 RecordProfitVeto 决策，耗尽时按无可用账号终止。 回归测试钉死：503 之后持续利润否决必须有限步终止且不 spin；未启用利润控制的 请求退避语义完全不变。 M2 排队等槽后才终检，延迟可放大到 N × WaitPlan.Timeout OpenAI 侧选号循环（自有 failedAccountIDs map，非 FailoverState）新增 recordOpenAIProfitVeto + handleOpenAIProfitVetoExhausted，共用同一上限语义。 覆盖 responses / messages-dispatch / chat_completions / alpha_search / embeddings / images / grok_media 七处，以及 WS 两处否决分支。 M4 ws_v2 透传 ingress 绕过 per-turn 重定价（选方案 B：最小止血） 透传 relay 只回调 AfterTurn、没有任何 turn 起始回调，hooks.BeforeTurn 永远 不触发，而 handler 把 turnPricingAt 初始化成建连时刻 ⇒ 透传连接全部 turn 按 建连时刻的高峰因子结算，客户端峰前建连保活即可全程谷价——正是本 PR 想堵的 漏洞。改为 openAIWSTurnPricing 零值起步、只由 BeforeTurn 冻结；透传路径保持 零值，RecordUsage 回退记录时刻，与引入利润控制前的基线一致。 未选方案 A（给透传补 turn 起始回调）：passthrough_relay.go 是 #5167 刚修过的 取消传播/close frame 时序敏感区；且 BeforeTurn 还承担 turn>1 的并发槽位抢占， 接进去等于给透传连接引入 per-turn 抢槽，风险远超本次修复范围。透传仍有建连时 的准入门，只是没有 turn 级复核，已在两处注释写明。 测试：service 层钉死透传 ingress 不触发 BeforeTurn（含失败时的复核指引）， handler 层钉死零值语义与逐 turn 覆盖。 M5 装门读分组走了带账号计数聚合的 GetByID SchedulerSnapshotService 新增 GetGroupByIDLite，openai/gateway 两处装门改用 之。门只需要平台/倍率/利润/高峰字段，且该查询发生在「是否启用利润控制」判定 之前，未启用的分组同样付代价。两个测试 stub 的 GetByID 改成 panic 守卫。 M6 认证快照注释与真实读取路径相反 门解析优先取 ctxkey.Group，而它就是本快照物化出来的对象，直连流量走的正是这 条路。改正注释，与 api_key_repo.go 投影处的说明对齐，避免后人照旧注释删列。 M3 rate_multiplier 为 nil 时利润门 fail-closed（不改行为，加护栏） 保留 fail-closed。补 repository 层测试钉死账号调度快照的 full/metadata 两份 payload 都必须保留 RateMultiplier（含 0 值），漏列在 CI 就红。 L1 迁移号注释 191 / 191-192 改为实际的 192/193。 L2 admin group Create 的利润配置预校验改用与 CreateGroup 一致的归一化平台 （新增 service.NormalizeGroupPlatform，两边共用）。保留预校验而非删除： service 层返回的是无类型 error，经 ErrorFrom 会变成 500，删掉会把合法的 400 降级成 500。 L3 前端利润校验的上界改为判定换算后的小数（后端按小数校验 [0,1)）， 99.999% 会四舍五入进位成 1.0 而被后端 400；i18n en/zh 同步改为 0-99.99。 L4 clampProfitControlThreshold / profitControlOverThreshold 抽为共用函数， 线上装门/否决点与 profit-preview 不再各自实现，附边界语义测试。 L5 profit-preview 补「默认 D 有账号但最低有效 D 归零」的告警（两档都为 0 由 既有告警覆盖，不重复）。
76 lines
2.3 KiB
Go
76 lines
2.3 KiB
Go
package dto
|
|
|
|
import (
|
|
"encoding/json"
|
|
"testing"
|
|
|
|
"github.com/Wei-Shaw/sub2api/internal/service"
|
|
)
|
|
|
|
// profitControlJSONFields 是分组利润控制的三个 JSON 字段。它们与同响应中的
|
|
// rate_multiplier 相乘即可反推出运营方的上游采购成本上限，属于内部经营信息，
|
|
// 只能出现在管理员 DTO 中。
|
|
var profitControlJSONFields = []string{
|
|
"profit_control_enabled",
|
|
"profit_min_margin",
|
|
"profit_safety_buffer",
|
|
}
|
|
|
|
func profitControlServiceGroup() *service.Group {
|
|
return &service.Group{
|
|
ID: 7,
|
|
Name: "profit-gated",
|
|
Platform: service.PlatformAnthropic,
|
|
RateMultiplier: 2.0,
|
|
Status: service.StatusActive,
|
|
ProfitControlEnabled: true,
|
|
ProfitMinMargin: 0.3,
|
|
ProfitSafetyBuffer: 0.05,
|
|
}
|
|
}
|
|
|
|
func marshalToMap(t *testing.T, v any) map[string]any {
|
|
t.Helper()
|
|
raw, err := json.Marshal(v)
|
|
if err != nil {
|
|
t.Fatalf("marshal: %v", err)
|
|
}
|
|
var out map[string]any
|
|
if err := json.Unmarshal(raw, &out); err != nil {
|
|
t.Fatalf("unmarshal: %v", err)
|
|
}
|
|
return out
|
|
}
|
|
|
|
// TestGroupFromServiceOmitsProfitControl 钉死普通用户侧的分组 DTO 不泄露利润控制配置。
|
|
func TestGroupFromServiceOmitsProfitControl(t *testing.T) {
|
|
for name, got := range map[string]any{
|
|
"GroupFromService": GroupFromService(profitControlServiceGroup()),
|
|
"GroupFromServiceShallow": GroupFromServiceShallow(profitControlServiceGroup()),
|
|
} {
|
|
fields := marshalToMap(t, got)
|
|
for _, f := range profitControlJSONFields {
|
|
if _, ok := fields[f]; ok {
|
|
t.Errorf("%s: 普通用户 DTO 不得包含 %q", name, f)
|
|
}
|
|
}
|
|
if _, ok := fields["rate_multiplier"]; !ok {
|
|
t.Errorf("%s: 应仍返回 rate_multiplier", name)
|
|
}
|
|
}
|
|
}
|
|
|
|
// TestGroupFromServiceAdminIncludesProfitControl 钉死管理端仍能读写利润控制配置。
|
|
func TestGroupFromServiceAdminIncludesProfitControl(t *testing.T) {
|
|
admin := GroupFromServiceAdmin(profitControlServiceGroup())
|
|
if admin.ProfitControlEnabled != true || admin.ProfitMinMargin != 0.3 || admin.ProfitSafetyBuffer != 0.05 {
|
|
t.Fatalf("管理员 DTO 未透传利润控制配置: %+v", admin)
|
|
}
|
|
fields := marshalToMap(t, admin)
|
|
for _, f := range profitControlJSONFields {
|
|
if _, ok := fields[f]; !ok {
|
|
t.Errorf("管理员 DTO 应包含 %q", f)
|
|
}
|
|
}
|
|
}
|