baiyue-firstleg/docs/phase1-business-maturity-regression-report.md

一期业务成熟度回归测试报告

测试时间：2026-07-30
测试环境：本地标准端口、MySQL、Redis、Nacos
结论：本次前端联调报告列出的认证、个人资料、成员、角色、仓库、往来单位、订单草稿及快递信息缺口已通过成熟度验收。

本次属于本地测试联调，不执行数据库备份或生产发布操作。脚本只创建可识别的测试数据，并在 finally 中恢复状态、删除可删除数据；不能物理删除的成员和租户按测试数据规则停用保留。

1. 验收结果

验收层级	结果	证据
全仓构建	通过	19 个 Reactor 项目全部 SUCCESS
单元及组件测试	通过	75 项通过，失败 0，错误 0，跳过 0
认证、个人资料、成员、角色、租户隔离	通过	68 项真实 API 检查通过，失败 0
仓库、往来单位、订单、快递	通过	37 项真实 API 检查通过，失败 0
服务健康	通过	Gateway、Auth、IAM、Firstleg、Order、Warehouse、File、Print 共 8 个服务均为 UP
Swagger	通过	Gateway UI、配置和 11 个业务分组共 13 个入口全部 HTTP 200
CORS	通过	白名单来源 HTTP 200，非白名单来源 HTTP 403

结构化报告：

• reports/phase1-business-maturity-regression-20260730171959885.json
• reports/订单仓库往来单位真实API回归-20260730-171805.json

2. 已通过的业务能力

• 统一登录、刷新令牌轮换、退出、过期会话和旧令牌失效。
• 本人资料查询、编辑、回显和恢复；错误旧密码被拒绝，正确修改密码后全部旧会话失效。
• 成员新增、编辑、列表、详情、姓名联系方式及 roleIds 回显、启停、重置密码。
• 普通成员不能停用本人，企业所有者不能被停用，停用账号不能登录。
• 角色新增、编辑、启停、删除、permissionIds 回显；已分配成员的角色禁止删除。
• 平台端与商户端隔离、按钮权限、跨租户成员/仓库/往来单位访问隔离。
• 启用仓库查询、地址及收货截单时间回显，停用仓库不可选择。
• 往来单位位于 warehouse-service 和 baiyue_warehouse.wh_partner，启用过滤和租户隔离通过。
• 订单草稿创建、编辑后重新保存、提交、重复提交 409、审核未通过禁止下单。
• 仓库和往来单位停用后禁止保存，订单使用服务端可信主数据快照，不信任客户端伪造名称。
• 订单历史参与方地址快照、仓库地址及收货时间快照通过。
• 平台写入履约快递信息，商户详情只读展示，商户不能调用平台写接口。

3. 回归中发现并修复的问题

1. Auth 修改密码接口使用了错误的认证主体类型，已统一使用公共 JWT 认证过滤器。
2. 权限列表同时返回租户权限和全局模板，已按权限码合并并优先当前租户。
3. 成员审计字段可能为空，安全上下文审计提供器已设为主提供器。
4. 企业所有者停用校验顺序错误，已优先执行所有者保护。
5. /members/roles 被 /members/{membershipId} 动态路由吞掉，成员路径已限制为数字。
6. Windows PowerShell 5 对错误响应、UTF-8 请求和响应处理不稳定，两套回归脚本已统一修复。
7. MySQL 短参数在 PowerShell 下解析异常，回归脚本已改为长参数并使用进程内密码环境变量。

4. 测试数据清理

• 临时自定义角色均已删除，未删除角色数为 0。
• 临时测试成员因当前没有成员物理删除接口，已全部停用并清空角色，保留可审计记录。
• 跨租户注册测试会保留停用前的租户与账号数据；后续可增加测试数据归档任务。
• 订单、临时仓库、临时往来单位和临时权限关系已由脚本 finally 恢复或删除。

5. 尚未达到生产成熟的范围

本报告只确认前端联调清单对应能力成熟，不代表整个国内外头尾程平台已经可以直接生产上线。以下仍需后续迭代：

• 注册和成员创建的跨服务写操作仍为同步调用加补偿，需要 Outbox/Saga 进一步保证极端失败一致性。
• 内部服务凭据仍为共享静态密钥，生产应使用密钥轮换和 mTLS。
• 营业执照真实图片的桌面端、移动端浏览器查看与替换仍需人工浏览器验收。
• 文件服务仍为本地磁盘，生产需切换对象存储并完成短期授权与下载审计。
• 完整头程仓内作业、订舱、装柜、报关、发运交接、跨区域 Outbox/Inbox、轨迹和通知尚未形成生产闭环。
• 往来单位一期为单联系人、单地址平面配置，复杂联系人和地址簿属于后续范围。

6. 验收结论

本次前端联调缺口可以进入稳定浏览器联调和一期演示验收。生产上线审批仍应以跨服务可靠性、文件对象存储、完整头程履约、跨区域事件、备份恢复和安全演练全部完成为前提。