xsl
cd0ddb131b
- POST /reports/{id}/export：request_key 幂等 + hd_export 日配额三段式（reserve/commit/refund）+ tier2 熔断场景闸（BudgetGuardDep），仅 succeeded 报告可导
- GET /reports/{id}/export/download：归属校验 + 路径收敛（rendered_asset_key 必须落在 report_export_dir 内），FileResponse 携带 UTF-8 文件名
- celery 任务 meida.report.export（cpu 队列）：渲染→落盘 var/exports→回写 rendered_asset_key；业务性拒绝（报告状态变化）结案退款不重试，基础设施异常重试一次后兜底结案退款
- packages/report/pdf：Jinja2 模板 + WeasyPrint 渲染器（url_fetcher 全拒外部资源防 SSRF；维度中文名按 DIMENSION_BY_KEY 回填；色板维度渲染色卡）
- 单测 10 例（资格/幂等/并发同键/下载校验/渲染）；scripts/seed_pdf_e2e.sql 供本地 E2E 造数
apps/ — 可部署的进程
| 目录 | 进程 |
|---|---|
api/ |
FastAPI 应用：路由、依赖注入、中间件 |
worker/ |
Celery 任务定义与四队列配置（gpu / cpu / io / beat） |
admin/ |
极简运营后台（占位，FR-ADM-01~05） |
API 层的职责边界（架构 §3.1 L3）
只做编排：认证鉴权、参数校验、幂等、配额校验与预扣、统一响应、OpenAPI。
不能放什么
- 业务规则。路由函数里出现
if判断业务条件，几乎总是应该下沉到packages/<域>/service.py或packages/domain/。 - 直接写 SQL 或用 ORM 查表。走域的
service。 - 直接调用外部 API。LLM 走
packages/llm；未来的审核、视觉、换装同理。 - 裸
dict返回。所有响应必须经过packages.shared.response.ok()/fail()。
契约先行（NFR-MAINT-01）
先在 apps/api/schemas.py 定义 Pydantic schema，再写实现。客户端类型由
OpenAPI 生成，schema 一变客户端立刻可见。
Worker 的规矩
- 每个长耗时任务都必须落
tk_task，走packages/task的状态机。 不要自己维护状态字段。 - 失败必须退还配额（
billing.refund()，FR-BILL-05）。apps/worker/tasks.py里的ping_task是形状示例。 - 队列按资源画像分：GPU 推理进
gpu，视觉/渲染进cpu，外部调用进io。 混队列会让「换装排队把报告拖慢」。