Q01 · 后端 P0 缺口深验总包（WIP-318 · 小齐 R9+R10）

版本：v1.0｜执行：小齐｜时间：2026-09-14 00:0x｜基线 HEAD：9b88ece9

依据设计文档：docs/reports/gpt6-评审-2026-09-13/03-波波小齐苦力活长线包设计.md（14 要素 / 12 字段证据 / P0-P3 分级）

证据原件：docs/delivery/evidence/verify/318/（本文件 + 扫描输出）

1. 包名称与目标

Q01「后端 P0 缺口深验总包」。目标：对设计文档 §1.2 的十类 P0 缺口（①～⑩）做接口、字段、错误、权限、状态的覆盖核验，产出测试矩阵、执行记录与缺陷单；不修改任何核心代码，缺陷一律回原包。

2. 本次覆盖范围

十域全覆盖扫描 + 两个高风险点的源码级与行为级核验：

十域端点存在性、鉴权依赖、错误码、涉金额字段（机器扫描，401 个实现端点全量）
支付回调鉴权/验签（源码 + 非破坏性探针）
用户资产聚合接口的鉴权与数据真实性（源码）

3. 明确不覆盖范围

不改任何核心实现（支付状态机、库存并发、核销防重、权限中间件除外围核验外均不触碰）
不做压测/并发验证（属 Q03）
不做支付异常与幂等的完整矩阵（属 Q02，等阿仁支付实现）
不做退款对账（属 Q05）、库存并发（属 Q03）、消息与核销码生命周期（属 Q06）
不验证前端页面（属一号/二号域）

4. 涉及接口/文件/文档边界

扫描源：backend/app/routers/*.py（40+ 路由文件，401 个端点）
重点文件：miniapp_pay.py（支付）、feed_demand.py（聚合/资产）、merchant_console.py（商户/服务费回调）
契约对照：docs/contracts/api-v1.md
本包产出：docs/delivery/evidence/verify/318/（仅此目录 + 回执 + TASKS 行尾）

5. 字段定义

字段	含义	取值口径
域	P0 十类缺口编号	设计文档 §1.2
端点数	该域匹配到的实现端点数	路由装饰器解析
有鉴权依赖	处理器中出现 `Depends(<鉴权函数>)`	静态解析
有错误码	处理器中出现 `HTTPException(<码>`	静态解析
涉金额	出现 `total_fen/amount/price_fen` 等	静态解析
覆盖判定	端点存在≠语义正确，仅做缺口提示	—

6. 成功路径

扫描器 docs/tools/verify_p0_coverage.py --selftest 通过 → 全量扫描出矩阵 → 对高风险点做源码核验与非破坏性探针 → 缺陷单按 P0-P3 分级。

7. 异常路径

端点为 0 ⇒ 记 GAP（缺口，可能为未实现）
无鉴权依赖且非公开端点 ⇒ 逐个人工复核，确属缺失才记缺陷（本次 30 个候选中绝大多数为公开读接口，合理）
探针不可达 ⇒ 记 ENV_UNAVAILABLE，不记通过

8. 幂等与重复请求规则

扫描器为只读操作，可重复执行；证据文件按包版本落盘，重复执行覆盖同名文件（v1.0 → v1.1 递增）。

9. 权限与审计要求

本包仅读取代码与非破坏性只读探针（不构造成功支付、不改订单状态）
探针均使用不存在的单据号，避免产生业务副作用
缺陷单须含：对象/环境/版本提交号/前置数据/操作步骤/预期/实际/证据/结论/等级/责任人/复验条件

10. 与现有实现的差异

项	宣称/注释	实测
支付回调	文档字符串称「真实模式：验签后写库」	代码中无验签
`/me/assets-overview`	注释称「登录用户由前端传 token 携带 user 信息」	函数签名无 user 参数，恒返回零态

11. 依赖与阻塞项

依赖最新契约（波波 B01 未交付则契约对照部分不完整）
Q02/Q03/Q05/Q06 分别等：阿仁支付实现、311 库存、B06 退款契约、B07 消息/核销契约

12. 待核心席确认事项

支付回调无验签是否为"沙箱阶段有意省略"？若线上启用必须补验签（建议 P0 阻断）
/me/assets-overview 零态是否为有意占位？若是，需前端同步按占位处理、不得当作真实数据

13. 验收证据

13.1 十域覆盖矩阵（机器扫描，401 个实现端点）

域	端点数	有鉴权	有错误码	涉金额	覆盖判定
① 支付域	14	13	13	7	⚠️ 部分端点无鉴权依赖
② 库存/排期/可售	5	3	0	1	⚠️ 无显式错误码
③ 商户入驻资料	54	46	34	8	⚠️ 部分端点无鉴权依赖
④ 退款/结算	14	14	13	4	✅ 端点/鉴权/错误码在位
⑤ 消息域	10	10	1	0	✅ 在位（错误码偏少）
⑥ 核销码	9	9	8	5	✅ 端点/鉴权/错误码在位
⑦ 用户账户隐私	80	71	40	9	⚠️ 部分端点无鉴权依赖
⑧ 审计日志	9	6	6	1	⚠️ 部分端点无鉴权依赖
⑨ 搜索/聚合	23	9	6	3	⚠️ 部分端点无鉴权依赖（多为公开读）
⑩ 错误契约/角色	118	117	67	12	⚠️ 部分端点无鉴权依赖

补充：契约 356 vs 实现 399、对齐 345 ⇒ 契约漂移仍在（仅契约 11 / 仅实现 54 量级），归 B01（波波）。

13.2 缺陷单

🔴 Q01-D01｜支付回调无鉴权、无验签（P0 阻断 · 资金）

对象：POST /api/miniapp/pay/notify
环境：staging http://100.64.1.230:8089
版本/提交号：HEAD 9b88ece9；源码 backend/app/routers/miniapp_pay.py:107-188
前置数据：无（未登录、无 token）
操作步骤：

curl -s -X POST http://100.64.1.230:8089/api/miniapp/pay/notify -H "Content-Type: application/json" -d '{"out_trade_no":"PROBE_NOT_EXIST_001","status":"SUCCESS"}'

预期结果：无签名/无鉴权应被拦在业务逻辑之外（401/403 或签名校验失败）
实际结果：HTTP 404 {"success": false, "error": {"code": 404, "message": "无 out_trade_no=PROBE_NOT_EXIST_001 的订单"}, ...} —— 请求直达查库逻辑
对照证据：同域 GET /api/miniapp/pay/orders/1/status 无 token ⇒ HTTP 401（证明鉴权机制在该域是生效的，回调端点属漏配）
源码证据：107-188 行全程无 sign/verify/hmac 类校验；文档字符串称「真实模式：验签后写库」但代码中不存在
影响：持任意有效 out_trade_no 的未授权请求可经状态机将订单置为 paid（pending_payment→paid 为合法迁移），并触发分销归因与佣金结算（distribution_attribution.resolve_attribution）
结论：FAIL
缺陷等级：P0 阻断（资金）
责任人：阿仁（支付域核心席）
复验条件：补微信 APIv3 验签（含平台证书/签名头校验）；未通过验签返回 4xx 且不改订单状态；沙箱模式须显式由服务端环境变量闸门控制，不可由请求体 sandbox 字段决定

🟠 Q01-D02｜`/me/assets-overview` 恒返回零态（P1 严重）

对象：GET /api/miniapp/me/assets-overview
版本/提交号：backend/app/routers/feed_demand.py:279-295
实际结果：函数签名 async def assets_overview(): 无任何 user 参数，返回体为硬编码零值（orders_count 全 0、benefits_count 全 0 等）
预期结果：按蓝图「鉴权=用户绑手机后才返回非零」，应读取当前用户真实数据
注释与实现不符：注释称「登录用户由前端传 token 携带 user 信息」，但处理器未接收任何身份输入 ⇒ 属未实现的承诺
结论：FAIL｜等级 P1｜责任人：域⑦/⑨ 归属方（建议阿仁后端 + 一号前端共同确认）｜复验条件：接收并校验 user，返回真实计数；未登录返回零态且文档标注

🟡 Q01-D03｜契约与实现漂移（P2 一般）

契约 356 条 vs 实现 399 条、对齐 345；等级 P2｜责任人：波波（B01 统一错误契约补齐）｜复验条件：契约 v1.2 回填后重跑 verify_contract.py，差异收敛并说明剩余差异

⚪ 观察项（不记缺陷）

30 个"无鉴权依赖"候选中，绝大多数为公开读接口（站点配置、线路、商品包、天气、推荐等），符合设计，不记缺陷
POST /api/miniapp/merchant-console/service-fee/notify 按 WIP-290 刘总裁定冻结并返回 501，符合预期

14. 版本号与变更摘要

v1.0（2026-09-14 00:0x）：首版。十域覆盖矩阵 + 3 张缺陷单（P0×1 / P1×1 / P2×1）+ 1 项观察说明。
新增工具：docs/tools/verify_p0_coverage.py（十域覆盖扫描器，含 --selftest，可复用于 Q04/Q07/Q08）