fix(h5): sync latest report copy and deployment verification
This commit is contained in:
@@ -2,6 +2,8 @@
|
||||
|
||||
更新：2026-10-11。当前环境为 Windows 宿主机 + 内网 WSL。
|
||||
|
||||
线上状态补充：`https://1me.xajuzi.com/state/` 已部署并配置真实微信凭据，服务器检查记录见 `线上微信登录部署记录-2026-10-11.md`。下文的内网缺配置说明针对本机开发环境。真实微信授权尚待客户端验证。
|
||||
|
||||
## 结论与当前阻碍
|
||||
|
||||
已完成微信网页授权代码，但**没有完成真实微信账号联调**。当前未配置 `WECHAT_APP_ID`、`WECHAT_APP_SECRET`、`PUBLIC_BASE_URL`，也没有可验证的公众号网页授权域名配置。内网 `http://192.168.3.25:8080/` 不能作为本次正式授权部署地址。因此本地启用「本机浏览器登录」，不会模拟微信登录成功。
|
||||
|
||||
@@ -0,0 +1,66 @@
|
||||
# 线上微信登录部署记录
|
||||
|
||||
时间：2026-10-11（北京时间）。服务器：`ubuntu@1me.xajuzi.com`，页面：`https://1me.xajuzi.com/state/`。
|
||||
|
||||
## 后续更新：已配置真实凭据
|
||||
|
||||
用户提供凭据后，已将其写入 `/etc/juzi/wechat.env` 并重启服务。该文件仅 root 可读写（600），目录为 700；临时凭据文件已移除，未写入代码库或前端。
|
||||
|
||||
- 公网健康检查正常；`/state/api/auth/config` 返回 `wechat: true`。
|
||||
- 真实登录入口返回微信授权 URL；AppID 与配置匹配，作用域为 `snsapi_base`，回调为 `https://1me.xajuzi.com/state/api/auth/wechat/callback`。
|
||||
- OAuth 绑定 Cookie 确认为 HttpOnly、Secure、SameSite=Lax，路径 `/state/`；回调无效 code 后返回登录错误，重复 state 被拒绝，未错误发放登录会话。
|
||||
- 微信网页授权换码接口使用诊断用无效 code 返回 `40029 invalid code`，未返回 IP 白名单错误。这只验证端点连通和错误处理，不能证明 AppSecret 正确或真实授权成功（无效 Secret 对照也返回相同错误）。
|
||||
- 微信基础接口 `/cgi-bin/stable_token` 返回 `40164`，服务器出口 IP `49.233.222.47` 不在公众号 IP 白名单。须由公众号管理员加入后，才能完成这项基础凭据校验；不能直接把此错误认定为网页授权登录必然失败。
|
||||
- 自动浏览器能够从真实页面发起微信跳转，但无法取得真实微信客户端授权 code，因此没有伪造生产微信身份或宣称真人登录已通过。
|
||||
|
||||
剩余验证：公众号管理员添加基础接口 IP 白名单；在真实微信内完成一次授权，确认权限与网页授权域名，并检查首页和报告列表。非登录功能的真实闭环结果见 `线上闭环测试-2026-10-11.md`。
|
||||
|
||||
### 用户确认加入白名单后的复测
|
||||
|
||||
2026-10-11 14:50 UTC，从同一生产服务器间隔复测：`stable_token` 和标准 `cgi-bin/token` 均仍返回 `40164`，提示 `49.233.222.47` 不在白名单。已确认服务器读取的 AppID 与用户提供的 `wx645d9a7573f1fe9a` 一致；未输出密钥或令牌。仍需核对是在该 AppID 对应账号的 **IP 白名单** 中添加并保存，而非网页授权域名/业务域名或其他微信应用的白名单。
|
||||
|
||||
网页授权端点返回的 HTML 仅做微信客户端环境判断，并未提供账号权限/域名是否合规的诊断结果；伪造 User-Agent 无法完成真实授权。换码负向测试仍正常，因此上述基础接口错误不能替代真实微信登录的验收结果。
|
||||
|
||||
## 已执行
|
||||
|
||||
- 确认服务器仓库为 `55b3a45`，包含 `ce8d0ff` 登录和 UI 更新；未覆盖服务器仓库文件。
|
||||
- 原 Node 进程仍运行旧版本，重启 `juzi-h5.service` 后新账号接口生效。
|
||||
- 新增 `/etc/systemd/system/juzi-h5.service.d/wechat.conf`，设置实际 HTTPS 站点地址、回环监听、代理信任和私有环境文件加载。
|
||||
- 初次准备 `/etc/juzi/wechat.env` 时两个微信变量为空；随后已配置真实凭据。目录权限 700、文件 600，均为 root 所有。
|
||||
- 修改 `/etc/nginx/sites-available/juzi`：为 `/state/api/admin/` 增加 Basic Auth（原先只有 `/api/admin/` 受保护）；兼容旧路径，覆盖真实 IP 请求头；请求体上限调整为 20 MB，读取超时调整为 150 秒。
|
||||
- `nginx -t` 通过后平滑 reload，原证书、管理员密码文件和域名验证文件未改动。
|
||||
- Node 确认仅监听 `127.0.0.1:8080`。
|
||||
|
||||
备份：`/etc/juzi-deploy-backup.3ipdsA/`，含修改前 nginx 配置和 systemd 主服务文件。新增 systemd drop-in 为独立文件，可单独回退；数据目录未移动或删除。
|
||||
|
||||
## 初次部署的线上检查（历史结果）
|
||||
|
||||
| 检查 | 结果 |
|
||||
|---|---|
|
||||
| `/state/`、`/state/api/health` | 200 |
|
||||
| `/state/api/auth/config` | 200，wechat=false，明确缺配置 |
|
||||
| 匿名读取报告 | 401 |
|
||||
| `/state/api/admin/stats`、`/api/admin/stats`、后台页面 | 401 |
|
||||
| 数据目录、编码斜杠源码路径 | 404 |
|
||||
| 同站但未同意协议的登录请求 | 400 |
|
||||
| 跨站登录请求 | 403 |
|
||||
| 微信登录请求（尚无凭据） | 503，未伪装登录成功 |
|
||||
| 无效微信回调 | 302，返回 `/state/?login_error=state` |
|
||||
| 根目录微信验证文件 | 200 |
|
||||
|
||||
## 初次部署时的凭据查找记录（现已由用户提供）
|
||||
|
||||
查找到的是 `MP_verify_kpx234XimQGtFPo6.txt`，只有 16 字符校验串；本地与服务器相关目录均未找到同名 `.md`。它用于域名验证，不包含 AppID/AppSecret，也不能用于换取微信用户身份。
|
||||
|
||||
在服务器运行 `sudoedit /etc/juzi/wechat.env`，填写对应公众号凭据：
|
||||
|
||||
```ini
|
||||
WECHAT_APP_ID=公众号AppID
|
||||
WECHAT_APP_SECRET=公众号AppSecret
|
||||
```
|
||||
|
||||
保存后执行 `sudo systemctl restart juzi-h5.service`。无需在聊天中发送 AppSecret，也不要将该私有文件加入 Git。然后重新检查 `/state/api/auth/config`，并在微信内访问站点完成真实授权测试。
|
||||
|
||||
同时须确认该公众号具备网页授权权限，公众号后台的「网页授权域名」是 `1me.xajuzi.com`。目前仅确认校验文件可访问，尚无法确认公众号后台实际设置。回调 URL 已准备为 `https://1me.xajuzi.com/state/api/auth/wechat/callback`。
|
||||
|
||||
初次部署阶段没有触发收费 Face++ 检测，没有更改既有报告或真实用户账号。后续闭环测试使用独立测试身份调用一次真实 Face++，详见闭环测试记录。真实微信账号联调仍待完成，不能将接口部署成功视为微信授权成功。
|
||||
@@ -0,0 +1,69 @@
|
||||
# 线上闭环测试（不含真实微信授权）
|
||||
|
||||
测试时间：2026-10-11；站点：`https://1me.xajuzi.com/state/`。
|
||||
|
||||
## 结论
|
||||
|
||||
真实线上测肤、完整报告存储与回看已跑通。测试使用项目自带的 C3 三视角示例照片和新建的独立浏览器身份，没有修改或删除既有用户报告。除明确标注的故障注入/演示测试外，真实闭环经过公网 HTTPS、nginx、生产 Node 服务和真实 Face++ 接口。
|
||||
|
||||
## 发现并修复
|
||||
|
||||
前端原先 45 秒取消测肤请求；后端两次 60 秒请求加 4 秒重试间隔，最长约 124 秒，导致网络慢或重试时前端提前失败。前端调整为 150 秒，与已部署的 nginx 150 秒超时配合，并新增请求成功、超时、过期响应丢弃及计时器清理回归测试。
|
||||
|
||||
线上已同步 `h5/js/app.js`，原文件备份为 `/home/ubuntu/juzi-app-before-closedloop-20261011.js`。静态 JS 响应 `Cache-Control: no-cache`。该超时修复已包含在提交 `3dda4ec` 中；本次将新增测试和记录同步纳入 Git，统一本地和线上版本。
|
||||
|
||||
## 话术及仓库同步
|
||||
|
||||
以线上提交 `3dda4ec` 中的最新 `reference/AI测肤报告页话术修改.md` 为准，其 SHA-256 与用户附件完全一致（`c871de9ac3ddd40410653da904cb0b800e24bdf550df53d60602645bab2aafbb`）。本地拉取时先备份并恢复了原有测试、文档及知识图谱改动，未丢弃未提交工作。
|
||||
|
||||
运行 `python3 tools/build_report_copy.py` 重新生成 `h5/js/report-copy.js`，将水分「改善」结论中的「水分分 {water_score}」同步到页面实际使用的话术。评分和推荐算法不变。部署后重启服务，让服务端新报告使用更新文案；已保存的历史报告继续读取原有快照。
|
||||
|
||||
## 已通过的检查
|
||||
|
||||
| 场景 | 验证方式与结果 |
|
||||
|---|---|
|
||||
| 核心评分 | 服务器运行 83 项引擎自测、86 项回归断言，全部通过 |
|
||||
| 账号和报告 | 服务器隔离测试验证授权同意、CSRF、账号隔离、完整快照、最近 5 份、重启持久化、身份恢复及 OAuth 状态绑定/防重放 |
|
||||
| 公网页面 | Chromium 经真实 HTTPS 访问登录、首页、隐私协议、档案、报告列表和报告；320/390/480 宽度无横向溢出 |
|
||||
| 三连拍与语音 | 模拟摄像头完整正脸→右脸→左脸流程；14 条音频可获取、引导顺序正确、三次完成播报、无语音截断 |
|
||||
| 档案保护 | 未同意隐私协议不能继续；未填写档案不能启动拍摄 |
|
||||
| 相机降级 | 注入相机拒绝及模型不可用，系统相机文件输入仍可完成三视角流程；坏图提示错误后可重新选择 |
|
||||
| 真实测肤 | 三视角样例经页面压缩上传，真实 Face++ 返回成功，记录已完成，服务记录耗时 1281 ms，综合分 74 |
|
||||
| 完整报告 | 七张检测图加载、七个标签切换、图片放大及浏览器返回通过；后端保存三张照片、完整可视化数据与文案 |
|
||||
| 历史恢复 | 清除会话 Cookie 后由浏览器本地身份恢复；从服务端再次打开报告，七张图片与文案和首次展示逐项一致 |
|
||||
| 历史异常 | 浏览器侧注入列表 503 错误，错误提示与刷新重试恢复正常 |
|
||||
| 检测异常 | 浏览器侧分别注入业务失败、断网和超时，均关闭分析弹层、保留档案并允许重拍；不产生虚假报告 |
|
||||
| 人脸模型 | 公网真实模型加载正常，示例图能实际识别人脸并输出 68 个关键点 |
|
||||
| 权限隔离 | 匿名读报告 401，另一个已登录身份读测试报告 404；跨站检测请求 403；缺图请求 400 |
|
||||
| 文件/后台保护 | 后台接口、后台页面需认证；数据、源码、编码斜杠访问被拒绝 |
|
||||
| 服务状态 | nginx 配置检查通过；nginx 和 juzi-h5 均 active；Node 仅监听 127.0.0.1:8080 |
|
||||
|
||||
真实调用记录：`R20261011-193351-PD7P`。本次只有一笔真实 Face++ 检测请求；故障测试不调用收费接口。测试报告保留在独立测试身份下，未清理或改写其他数据。
|
||||
|
||||
## 可复现命令
|
||||
|
||||
```bash
|
||||
node h5/test/accounts.js
|
||||
node h5/js/skin-score.js
|
||||
node h5/test/regression.js
|
||||
node h5/test/analyze-timeout.js
|
||||
node h5/test/report-persistence.mjs
|
||||
node h5/test/wechat-browser.mjs
|
||||
|
||||
BASE_URL=https://1me.xajuzi.com/state node h5/test/e2e-browser.mjs
|
||||
H5_BASE_URL=https://1me.xajuzi.com/state/ H5_ARTIFACT_DIR=/tmp/juzi-production-ui-20261011 node h5/test/ui-20261009.mjs
|
||||
H5_BASE_URL=https://1me.xajuzi.com/state/ node h5/test/browser-failures.mjs
|
||||
|
||||
# 显式开启：会新增独立测试身份和报告，并实际消耗一次 Face++ 调用。
|
||||
RUN_LIVE_ANALYZE=1 H5_BASE_URL=https://1me.xajuzi.com/state/ node h5/test/production-loop.mjs
|
||||
```
|
||||
|
||||
浏览器测试依赖全局 Playwright 和 Chromium。`wechat-browser.mjs` 使用隔离 HTTPS 及模拟微信响应，只验证我们的跳转、会话和身份流程，不代表真实微信授权通过。
|
||||
|
||||
本机截图/结果：`/tmp/juzi-production-loop-LqVf32/`、`/tmp/juzi-production-ui-20261011/`、`/tmp/juzi-e2e-report.png`。不记录身份凭证或密钥，不将报告快照/照片加入 Git。
|
||||
|
||||
## 验证边界
|
||||
|
||||
- 真实微信授权尚未完成：后续用户提供 AppID/AppSecret 后已配置并启用；基础接口凭据校验受到 IP 白名单限制，网页授权换码负向测试正常，真实微信授权仍需客户端完成。详见微信部署记录。
|
||||
- 自动化不等同于真实手机相机验收。微信内置浏览器的权限、前后镜头、实际光线/姿态下自动抓拍和系统相机交互，需要最终真机验证。
|
||||
- 这次是功能闭环和异常恢复检查，不是高并发压力测试或完整安全审计。
|
||||
Reference in New Issue
Block a user