fix(review): 修复全量审查发现的域名到期日链路、AI 资产挂靠迁移与 2FA 取码缺陷

92 文件全量代码审查后的高危/中危修复，每条都带回归测试，并在未修复的 HEAD 上反向确认过「测试确实会失败」。 - H1 域名同步整批失败：NormalizedDomain.expiry_date 契约声明为字符串，Cloudflare 适配器把 Registrar 的 ISO 时间戳截成 "YYYY-MM-DD" 直接赋给 Date 列，写库抛 TypeError；而 _sync_domains 的 commit 在循环外，一个域名就让整批全量回滚（Cloudflare 域名实际从未同步成功）。现统一契约：base.py 新增 parse_iso_date，适配器产出 date，_sync_domains 写库前再归一一次以兼容仍返回字符串的适配器 - M9 Vultr / DigitalOcean 的域名到期日此前完全没映射，这两家域名永远进不了续费提醒 - M1 同步失败变 500：能力分支写库失败后未回滚，Session 停在 pending-rollback，随后更新 last_synced_at 的 commit 抛 PendingRollbackError，真实错误被 500 掩盖 - H2 AI 资产挂靠迁移静默零命中：迁移 SQL 用枚举值 'ai_agent' 匹配 Enum 列，而 SQLAlchemy Enum 存的是成员名 'AI_AGENT'，该分支从未生效（6 个 AI 资产的 account_id 全为 NULL）。改用成员名并加日志留痕；账号命名沿用步骤 1 的「{slug}-默认」约定，避免建出与既有账号语义重复、且没有凭证的空账号（dry-run 实测：deepseek 资产复用已有且有凭证的 deepseek-默认） - H3 2FA 动态码不刷新：otpState 全局常驻、收起只清 timer 不删条目，「不存在才拉」的守卫导致再次展开显示上一次的旧码且倒计时冻结在 0。改为每次展开都重取； stopOtp 同时清空旧码（避免重展开瞬间闪过已失效的码），并加请求代号，防止「请求在途时收起」后返回的响应又重启轮询 - M10 账号弹窗关闭不清理：外层用 v-if 关闭并不卸载组件，onUnmounted 不触发， OTP 轮询定时器与明文密码驻留后台。关闭时显式调 closePwd - M2 提醒发不出去：Telegram 用 parse_mode=HTML，资产名含 < > & 时整条消息被 400 拒收；纯文本提醒不需要任何标签，去掉 parse_mode，并把拒收正文带回便于排查 - M3 负数天文案：cbb32ea 已修好提醒消息正文，本次补齐仍在直出负数的两处（check_renewals.py 输出、设置页预览），后端抽出 renewal_service.day_text 统一，前端走 Fmt.countdownText 验证：pytest 94 passed（新增 tests/test_domain_expiry.py、tests/test_notification.py）；本地起服务对 H2 迁移做真实 dry-run（6 个 AI 资产挂到 4 个账号、无重复账号、幂等、非 AI 资产零影响，迁移前已备份）；浏览器端以 otpState 状态断言验证 H3/M10，设置页续费预览确认已过期项显示「已过期 N 天」。
2026-09-22 22:26:42 +00:00
parent 7045843db8
commit 61372f7ceb
16 changed files with 561 additions and 34 deletions
@@ -7,6 +7,7 @@
 运行：.venv/bin/pytest tests/test_credential_migration.py -v
 """

+import json
 from datetime import datetime, timezone

 import pytest
@@ -17,7 +18,15 @@ from sqlmodel import Session, SQLModel, create_engine, select
 import app.database as db
 from app.core import crypto
 from app.core.config import settings
-from app.models.asset import AIAccount, Account, Asset, CloudflareDetail, DomainDetail, VPSDetail
+from app.models.asset import (
+    AIAccount,
+    Account,
+    Asset,
+    AssetType,
+    CloudflareDetail,
+    DomainDetail,
+    VPSDetail,
+)
 from app.models.credential import Credential, LoginType
 from app.models.provider import Provider
 from app.models.ssl import SiteCert, Subdomain
@@ -215,3 +224,114 @@ def test_migration_backfills_otp_verified(legacy_engine):
        ).fetchall()
    assert rows[0][1] is not None  # 已绑 2FA → 视为已验证
    assert rows[1][1] is None      # 未绑定 → 保持空
+
+
+def _seed_orphan_ai_asset(
+    engine, slug: str = "openai", name: str = "OpenAI", api_key: str = "sk-test-123"
+) -> int:
+    """造迁移前现场：一个没挂账号的 AI 资产 + 其 ai_accounts 详情"""
+    with Session(engine) as s:
+        provider = s.exec(select(Provider).where(Provider.slug == slug)).first()
+        if not provider:
+            provider = Provider(slug=slug, name=name, category="ai_agent", sdk_type=f"{slug}-api")
+            s.add(provider)
+            s.commit()
+            s.refresh(provider)
+        asset = Asset(
+            name=f"{name} 账号",
+            asset_type=AssetType.AI_AGENT,
+            provider=slug,
+            provider_id=provider.id,
+            external_id=f"ai-{slug}",
+        )
+        s.add(asset)
+        s.commit()
+        s.refresh(asset)
+        s.add(
+            AIAccount(
+                asset_id=asset.id,
+                provider=slug,
+                api_key_encrypted=crypto.encrypt(api_key),
+            )
+        )
+        s.commit()
+        assert asset.account_id is None  # 前置：确实还没挂靠
+        return asset.id
+
+
+def test_backfill_attaches_ai_assets_using_enum_member_name(legacy_engine):
+    """AI 资产挂靠迁移必须用 Enum 成员名 'AI_AGENT'
+
+    SQLAlchemy Enum 列存的是成员名而不是枚举值（'ai_agent'），
+    迁移 SQL 写值会静默零命中——AI 资产永远挂不上账号，且没有任何报错。
+    """
+    engine = legacy_engine
+    asset_id = _seed_orphan_ai_asset(engine)
+
+    # 先把存储形态钉住：真库里 asset_type 存的就是成员名
+    with engine.connect() as conn:
+        assert conn.execute(sa.text("SELECT asset_type FROM assets")).scalar() == "AI_AGENT"
+
+    db._migrate_assets_db()
+
+    with Session(engine) as s:
+        asset = s.get(Asset, asset_id)
+        accounts = s.exec(select(Account)).all()
+        assert len(accounts) == 1
+        acc = accounts[0]
+        # 按 ai_accounts.provider 找/建账号（沿用「{slug}-默认」命名），回填外键与历史字符串字段
+        assert (acc.name, acc.platform) == ("openai-默认", "openai")
+        assert asset.account_id == acc.id
+        assert asset.account == "openai"
+        # 账号尚无 API 配置时，把资产的 api_key 重组 JSON 后加密写入
+        assert json.loads(crypto.decrypt(acc.api_config_encrypted)) == {"api_key": "sk-test-123"}
+
+
+def test_backfill_reuses_existing_platform_account(legacy_engine):
+    """同平台已有账号（步骤 1 由平台凭证下沉建出）时必须复用，不建重复账号
+
+    否则会同时存在「deepseek」与「deepseek-默认」两个账号，
+    新建那个没凭证，在 UI 上点同步/测试只会得到「缺少凭证配置」。
+    """
+    engine = legacy_engine
+    with Session(engine) as s:
+        s.add(
+            Provider(
+                slug="deepseek",
+                name="DeepSeek",
+                category="ai_agent",
+                sdk_type="deepseek-api",
+                api_config_encrypted=crypto.encrypt(json.dumps({"api_key": "sk-platform"})),
+            )
+        )
+        s.commit()
+    asset_id = _seed_orphan_ai_asset(engine, "deepseek", "DeepSeek", "sk-asset")
+
+    db._migrate_assets_db()
+
+    with Session(engine) as s:
+        accounts = s.exec(select(Account)).all()
+        assert len(accounts) == 1  # 复用而不是另建一个
+        assert accounts[0].name == "deepseek-默认"
+        assert s.get(Asset, asset_id).account_id == accounts[0].id
+        # 账号已有平台级配置时不得被资产级 key 覆写
+        assert json.loads(crypto.decrypt(accounts[0].api_config_encrypted)) == {
+            "api_key": "sk-platform"
+        }
+
+
+def test_backfill_ai_assets_is_idempotent(legacy_engine):
+    """重跑不得重复建账号，也不得覆写已有的账号级 API 配置"""
+    engine = legacy_engine
+    _seed_orphan_ai_asset(engine)
+
+    db._migrate_assets_db()
+    db._migrate_assets_db()
+    db._migrate_assets_db()
+
+    with Session(engine) as s:
+        assert len(s.exec(select(Account)).all()) == 1
+        assert len(s.exec(select(Asset)).all()) == 1
+        assert json.loads(crypto.decrypt(s.exec(select(Account)).first().api_config_encrypted)) == {
+            "api_key": "sk-test-123"
+        }