xsl
6c77ff4989
POST /auth/huawei：JWKS 验签（kid 缓存/轮换）+ claims 严格校验 + UnionID 映射 + T4 双令牌签发（FR-ACC-01；真实联调待 AGC 配置）。 - packages/identity/huawei.py（新建）：HuaweiIdTokenVerifier——RS256 验签， JWKS 内存缓存（TTL 可配 + 单调钟；kid 未命中强制刷新一次重试，锁内用 拉取代数防止强制刷新被新鲜缓存短路）；aud/iss/exp/iat 全查，audience 空配置直接拒绝而非跳过；union_id 缺失拒绝（降级 open_id 策略不做， 留联调期决定）；错误映射 40102/40101/60000，无新错误码。 HuaweiLoginRequest/HuaweiClaims 一并定义于此，未动 schemas.py。 - apps/api/routers/auth.py：追加 /huawei 端点；get_huawei_verifier 依赖 建于路由模块内（缓存到 app.state，可预注入替换），未动 deps.py； 复用 T4 的 get_or_create_by_external_identity + issue_session + TokenPairResponse 与既有 _token_pair/_access_token。 - tests/unit/test_huawei_verifier.py：cryptography 自造 RSA + 本地 JWKS （零外网），19 例覆盖合法 claims/错误签名/过期/aud/iss/iat 缺失/ audience 未配置/union_id 缺失/HS256 混淆/JWKS 拉取失败/kid 轮换/缓存 TTL。 - tests/integration/test_auth_huawei.py：FakeFetcher 预注入 app.state， 真实 PG 验证首次建用户 + 双令牌、同 union_id 复登同 user_id、新 access 调 /quota、refresh 可轮换、伪造 token 40102。 检查：ruff/format/mypy（T6 列表）/lint-imports 全绿；单测 257 passed （基线 238 + 新增 19）；集成 18 passed（含新增 2）。 偏差说明：无
tests/
| 目录 | 内容 | 依赖 |
|---|---|---|
unit/ |
领域逻辑、LLM 网关、脱敏、错误码 | 无。不许连库、不许发网络请求 |
integration/ |
带 PostgreSQL / Redis 的链路 | make up，或 testcontainers |
golden/ |
黄金集回归（检索 / 规则 / 报告） | 尚未建立，见下 |
make test-unit # 默认只跑 unit（integration 自动跳过）
MEIDA_RUN_INTEGRATION=1 uv run pytest -m integration
覆盖率门槛
pytest 对 packages/llm 与 packages/domain 统计覆盖率，低于阈值即失败。
这两个包是 mypy strict 的范围，也是业务正确性的核心，其他层靠集成测试覆盖。
绝对不要做的事
- 不要在单测里调用真实的 DeepSeek。
scripts/smoke.sh是唯一会真的花钱的 入口。单测用httpx.MockTransport或tests/unit/test_gateway.py里的FakeProvider。 - 不要
time.sleep()。熔断器、预算闸门都支持注入时钟。 - 不要断言日志文本。断言行为。
黄金集（还没建，但这是最重要的一道防线）
架构 §16.2：
AI 改代码时最容易破坏的是那些「没有断言保护的隐性行为」。检索链路和规则引擎 必须有一套固定输入 → 期望输出的样本集。
M2 落地知识库时必须同步建立（FR-KB-11，≥ 100 条用例）： 检索 Top-5 命中率 ≥ 80%、硬过滤零漏、规则命中正确性、报告结构完整性、 硬性禁忌违反数 = 0。指标退化即阻断合并。
已覆盖的关键不变量
| 测试 | 保护的是什么 |
|---|---|
test_prompt_cache_prefix.py |
固定前缀不含易变 token，否则输入成本翻数倍 |
test_daily_budget.py |
日成本超限时拒绝非关键调用，不是只告警 |
test_gateway.py |
路由、故障转移、熔断、结构化重试、每次调用都记成本 |
test_quota_domain.py |
预扣三段式；退还幂等；服务端硬校验 |
test_task_state.py |
任务状态机没有非法跃迁 |
test_log_redaction.py |
手机号 / 令牌 / 密钥 / 诊断结论不进日志 |
test_response_envelope.py |
每个错误码都有文案；配额文案不含价格字样 |