fix: 三端缺陷修复(后端契约/Web 分页/auth 闭环/Android 会话态)
经三端只读审计 + 真实端到端验证后修复,每项都带回归用例。
后端
- 游标分页 off-by-one:next_cursor 指向被丢弃的哨兵行,严格不等式又排除它,
13 个端点每页静默丢 1 条;统一收敛到 core.api.paginate_cursor
- Feed 排序键(-hot_score/-published_at)与游标键(id)不同序,翻页重复+跳过;
hot_score 恒为 0,统一按 -id
- 无关/非法 page_size 曾 500 或一次拉全表;统一 parse_page_size 容错限幅
- 匿名写评论 500(AnonymousUser 写非空 FK)→ 读公开写登录;下架视频评论区可读写 → 404
- 取消点赞不回退作者获赞、收藏删除按固定 -1 → 按实际行数回退(可刷计数)
- view_count 去重失效(+1 在缓存判断之外)→ 计数与写历史同入去重分支
- WatchHistory 无唯一约束 + update_or_create → 并发重复行后永久 500;补约束
- is_active 未校验:封禁账号可继续用 access/refresh → 三处补校验
- WS user_<id> 组无订阅者,实时通知整条链是死的 → 补 UserConsumer + 广播
- 广播系统消息已读状态跨用户共享、可改他人定向消息 → 加 per-user 已读表
- 评论回复路由双前缀(comments/comments/…)导致 Web 与 Android 均 404
- 通知 type="all" 落到 filter(type="all") 匹配 0 行 → 全部已读
- 播放上报无鉴权可刷量、无视频存在性校验 → IsAuthenticated + 404
- 生产默认密钥是公开串,可离线伪造任意用户 JWT(含管理员)→ DEBUG=0 时拒启
- 搜索热词读-改-写丢更新 → F() 原子自增
Web
- 3 处把分页 envelope 当数组读(历史/访客/系统消息)→ 页面不可用/抛 TypeError
- CommentPanel 复用不跟随视频切换,显示并写入别的视频的评论
- 上传受全局 15s 超时,500MB 文件必然失败 → 单请求放宽到 15min
- auth 闭环:新 refresh 从不落盘、刷新失败不登出、restore 是死代码、深链接被
App.vue 的 replace("/") 拽回首页
- 私信被前后端双重反转,时序颠倒;点赞/收藏/评论点赞只有 POST 取消不掉
- 通知全读、消息中心两处 filter 崩溃、WS 4401 后永久不重连
Android
- 播放统计返回类型 Map<String,Boolean> 解不了 {"status":"recorded"} → 每次上报
都抛异常;且每 2 秒插一行播放记录,完播率被灌水 10 倍以上 → 改为离开时结算一次
- 上传走通用客户端(20s readTimeout)对同步转码必然超时 → 专用长超时客户端
- BODY 级 HTTP 日志(含密码/令牌/私信)打到 release 包 → 仅 debug BASIC
- allowBackup=true 可导出含 30 天 refresh 的 prefs → 关闭并加 dataExtractionRules
- 全局明文放行 → networkSecurityConfig 白名单
- 服务器地址只改内存、重启即丢,且 remember 旧 service 导致改地址不生效
- 登录态只算一次:登录后不轮询、登出后仍轮询、401 不跳登录 → SessionState 可观察
- 昵称含 "/" 会崩导航(路由未编码);观看历史/访客页无入口不可达
测试与 CI
- backend 30 passed(新增 11 条回归:分页/计数/鉴权/越权/契约)
- web 5 passed(vitest:401 单飞刷新、滑动续期回写、失败登出)+ typecheck 绿
- android 4 passed(JVM 契约测试,无需模拟器)
- e2e smoke 补取消点赞与 4 个分页页断言;CI 增加 web/android job
验证:API 端到端 19/19、浏览器 E2E 全绿、三端构建通过
dsp
20cd74edd3