docs(M02-A): 记录多租户模型验收结果

2026-06-18 10:31:16 +08:00
parent 8b8fb28c36
commit 0db9505553
7 changed files with 103 additions and 11 deletions
@@ -0,0 +1,23 @@
+# M02-A 应用启动配置接口
+
+## 新增接口
+
+`GET /app-api/bootstrap`
+
+请求头：
+
+- `x-wechat-appid`：必填，当前微信小程序 AppID。
+- `tenant-id`：可选；一个 AppID 绑定多个租户时必填。
+- `x-trace-id`：可选，沿用统一请求追踪。
+
+成功响应包含当前绑定的租户标识、租户名称、品牌名称、Logo、主题色、客服电话、加盟电话、分享标题、分享图和默认门店 ID。
+
+## 安全边界
+
+- 查询通过 `platform_app → tenant_app → tenant → tenant_config` 的有效绑定解析，不直接信任客户端传入的租户 ID。
+- SQL 同时约束 `platform_app_id` 和 `tenant_id`，配置表关联也强制匹配绑定租户。
+- 多租户 AppID 未指定租户时返回 `409 TENANT_SELECTION_REQUIRED`。
+- AppID 与租户不存在有效绑定时返回 `404 APP_TENANT_NOT_FOUND`。
+- 请求上下文格式错误返回 `400 INVALID_APP_CONTEXT`。
+
+本接口只公开启动展示配置，不包含用户身份、角色、密钥或支付配置。微信 code 登录与可撤销会话属于下一阶段 M02-B。
@@ -2,7 +2,7 @@

 > V5.0 首次核验日期：2026-06-16  
 > audited_commit: `2b90d1f`
-> next_engineering_target: M02-A 建立多小程序、多租户边界和微信登录身份基础
+> next_engineering_target: M02-B 建立微信登录、用户身份、JWT 与可撤销会话
 > 事实源：当前工作区、Git 历史、状态文档、Windows/WSL 检查脚本。

 ## 总体结论
@@ -11,7 +11,7 @@
 |---|---|---|---|
 | 总纲版本 | V5.3 已成为当前权威总纲，V5.2/V5.1/V5.0/V4.8 已保留为历史备份 | 根目录存在 `V5.3.md`、`V5.2.md`、`V5.1.md`、`V5.0.md` 和 `V4.8.md` | 可继续按 V5.3 的执行游标开发 |
 | Git 远端 | `origin=ssh://git@git.txyundm.cn:2222/panda/qipai.git`，分支 `main` | `git rev-list main...origin/main` 为 `0 0` | 本地与远端同步 |
-| 正式后端 | 已完成 Fastify 基础、数据库兼容层、MySQL outbox、幂等任务仓储、租约领取、失败重试、人工补偿状态和独立 PM2 worker | `backend/src/tasks/**`、`database/migrations/2026061802_m01c_async_tasks.*.sql`、`deploy/pm2/ecosystem.config.cjs`、`backend/tests/**` | M01 DONE；WSL MySQL 8.4.9 已验证完整迁移往返、重复入队不重复、worker 重启后任务仍可领取并完成；下一阶段为 M02-A |
+| 正式后端 | 已完成 Fastify 基础、数据库兼容层、MySQL outbox/worker，以及 M02-A 多应用租户绑定、品牌配置仓储和启动配置接口 | `backend/src/tasks/**`、`backend/src/tenancy/**`、`backend/src/routes/platform-bootstrap.ts`、`database/migrations/2026061803_m02a_tenant_apps.*.sql`、`backend/tests/**` | M01 DONE、M02-A DONE；WSL MySQL 8.4.9 已验证完整迁移往返、同 AppID 双租户隔离和跨租户拒绝；下一阶段为 M02-B |
 | 后台管理端 | 仅有 `admin/.gitkeep` | 当前文件扫描 | M09 未开始，不能标记 DONE |
 | 微信小程序 | Git 中仅有 `miniapp/.gitkeep`；工作区另有未跟踪模板，按 ISSUE-007 隔离 | Git 状态与当前文件扫描 | M08 未开始，模板未审查、未纳管，不能标记 DONE |
 | 数据库迁移 | 已新增 M01-B 核心 schema up/down/verify SQL、最小脱敏 seed、旧库结构 fixture、迁移计划/执行 CLI、验证结果数量门禁和 MySQL 8 集成测试 | `database/migrations/2026061601_m01b_core_schema.*.sql`、`database/seeds/2026061601_m01b_minimal_seed.sql`、`database/fixtures/2026061801_m01b_legacy_schema.sql`、`backend/src/db/migration-runner.ts`、`backend/tests/mysql-migration-roundtrip.test.mjs` | M01-B DONE；WSL MySQL 8.4.9 已验证 8 条旧库 fixture、11 条 up、3 条 verify、10 条 down，并验证租户隔离和旧金额整数分转换；不导入真实旧数据 |
@@ -35,6 +35,6 @@

 ## 下一步

-1. 进入 M02-A：建立多小程序、多租户边界和微信登录身份基础。
+1. 进入 M02-B：实现微信 code 登录边界、用户身份、JWT 访问令牌与可撤销会话。
 2. 在后续业务事务中使用现有 outbox/任务基础注册真实 handler，不在 M01-C 预造空业务处理器。
 3. 评估 Kysely 安全修复版的 Node 22 要求；未升级生产运行时前继续使用 `mysql2/promise`。
@@ -0,0 +1,23 @@
+# M02-A 多小程序与租户配置模型
+
+- 迁移版本：`2026061803`
+- Up：`database/migrations/2026061803_m02a_tenant_apps.up.sql`
+- Down：`database/migrations/2026061803_m02a_tenant_apps.down.sql`
+- Verify：`database/migrations/2026061803_m02a_tenant_apps.verify.sql`
+
+## 新增表
+
+| 表 | 用途 | 隔离约束 |
+|---|---|---|
+| `qipai_platform_apps` | 微信 AppID 对应的逻辑应用 | AppID 全局唯一 |
+| `qipai_tenant_apps` | 应用与租户绑定 | 唯一键包含 `tenant_id, platform_app_id` |
+| `qipai_tenant_configs` | 品牌、Logo、主题、电话、分享和默认门店配置 | 唯一键包含 `tenant_id, platform_app_id` |
+
+`qipai_tenants` 沿用 M01-B 已建立的租户主表，不重复创建第二套 tenant 表。配置查询必须同时通过有效 AppID、有效绑定和明确租户条件；一个 AppID 绑定多个租户时，未传 `tenant-id` 的请求会被拒绝。
+
+## 验证与回滚
+
+- Windows：后端构建、迁移契约和仓储/API 注入测试通过。
+- WSL MySQL 8.4.9：临时库执行 `up → verify → down → up → verify` 通过。
+- 实测同一 AppID 绑定两个租户时，可分别读取独立品牌配置；跨租户 ID 返回空，省略租户 ID 返回冲突错误。
+- Down 依次删除配置、绑定和应用表，再由旧迁移回滚基础表。
@@ -0,0 +1,44 @@
+# M02-A 多小程序/租户模型
+
+- 日期：2026-06-18
+- 起始 commit：`9d13f75`
+- 工程 commit：`8b8fb28`
+- 推送校验：`HEAD == origin/main == 8b8fb28c36c7a27e34bde3dcb60eada45025913e`
+- ENGINEERING_DELTA=YES
+- 子阶段状态：DONE
+
+## 工程增量
+
+- 新增 `qipai_platform_apps`、`qipai_tenant_apps`、`qipai_tenant_configs` 迁移、验证和回滚 SQL。
+- 新增 `PlatformConfigRepository`，按 AppID 与租户绑定读取品牌启动配置。
+- 新增 `GET /app-api/bootstrap`，提供 AppID/租户解析、格式校验和明确的 400/404/409 错误。
+- 后端进程创建 MySQL 连接池并在关闭时释放；启动配置路由使用正式仓储。
+- 增加迁移契约、仓储隔离、HTTP 注入和真实 MySQL 往返测试。
+
+## 验收结果
+
+- 一个 AppID 可绑定一个或多个租户；首期一对一无需传 `tenant-id`，多租户绑定必须明确选择。
+- 租户配置唯一键包含 `tenant_id`，读取 SQL 同时校验应用绑定与租户归属。
+- 品牌、Logo、主题、电话、分享配置按 AppID/tenant 返回。
+- 同一 AppID 下两个租户读取到各自品牌配置；不存在的跨租户 ID 无法读取。
+
+## 已执行验证
+
+1. `npm test`（目录 `backend/`）
+   - 退出码：0
+   - TypeScript 构建、迁移契约、仓储、HTTP 注入等测试全部 PASS。
+2. WSL 原生临时副本执行 `bash scripts/dev/wsl/mysql-migration-roundtrip.sh`
+   - MySQL：`8.4.9-0ubuntu0.26.04.1`
+   - 序列：`up → verify → down → up → verify`
+   - 退出码：0
+   - 18 条 up、9 条 verify、17 条 down；应用绑定、跨租户拒绝和旧库兼容均 PASS。
+3. `git diff --check`
+   - 退出码：0。
+
+## 边界与影响
+
+- 数据库：新增迁移 `2026061803`。
+- API：新增 `/app-api/bootstrap`。
+- 部署影响：后端启动会创建 MySQL 连接池；沿用现有 MySQL 环境变量，无新增生产密钥。
+- 小程序：本阶段未纳管工作区未跟踪模板；ISSUE-007 继续隔离。
+- 下一阶段：M02-B 微信登录、用户身份、JWT 与可撤销会话。
@@ -18,3 +18,5 @@
 | OPS-004 | 菜单式更新与环境监测 | M00-E/M10 | PARTIAL | `292ab7f` | `setup.sh` 已接入初始化、更新、MQTT、HTTPS、状态、备份、恢复、回滚和诊断菜单；`--backup-status` 已在 WSL 验证，可检查备份工具、目录和模板。 | 未在生产 Ubuntu 执行；真实备份配置未启用。 | 生产执行后补部署记录、真实备份和恢复演练记录。 |
 | IOT-001 | MQTT Broker 生产部署 | M00/M06 | PARTIAL | `874e811` | 已生成 EMQX Ubuntu 安装说明、ACL 模板、授权模板、菜单第 3 项检查和 WSL MQTTX CLI 冒烟脚本；本地脚本已覆盖认证/ACL 入口和可选 TLS/遗嘱/重复消息探测入口。 | 缺生产 EMQX 安装、端口限制、真实账号、ACL/TLS 验收和实机验证；本地账号未配置，后端/设备幂等消费者未接入。 | 生产执行后补 EMQX 版本、端口、ACL、备份和 MQTT 冒烟记录；本地配置最小权限账号后跑完整冒烟。 |
 | SYS-001 | 微信原生小程序 | M00-C/M08 | TODO | - | - | 参考小程序压缩包尚未深度整理。 | 后续导入正式 `miniapp/`。 |
+| CFG-001 | 小程序品牌自定义 | M02-A/M03/M08 | PARTIAL | `8b8fb28` | 已建立 AppID/tenant 品牌配置表和 `/app-api/bootstrap`；同一 AppID 两租户隔离读取在 MySQL 8.4.9 实测通过。 | Logo/分享图片上传与小程序实际展示属于后续阶段。 | M03/M08 接入配置管理和小程序展示。 |
+| BKG-010 | 后台多小程序管理 | M02-A/M08/M10 | PARTIAL | `8b8fb28` | 已建立逻辑应用、租户绑定和租户配置模型；多租户 AppID 未指定租户会被拒绝。 | 尚无后台管理页面，多 AppID 真机配置未验证。 | M02-B/C 完成身份权限，M08 增加管理页面。 |
@@ -3,10 +3,10 @@
 ```yaml
 execution_cursor:
  current_module: M02
-  current_stage: M02-A
-  last_completed_stage: M01-C
-  next_stage: M02-A
-  last_engineering_commit: 2b90d1f
+  current_stage: M02-B
+  last_completed_stage: M02-A
+  next_stage: M02-B
+  last_engineering_commit: 8b8fb28
  last_push_verified: true
  blocked_reason: ""
 ```
@@ -15,7 +15,7 @@ execution_cursor:
 |---|---|---|---|---|
 | M00 单仓库与服务器基础骨架 | PARTIAL | `ef0edda` | docs/devlogs/2026-06-16-M00-V5-基线核验.md | V5.2 已接入；已有成果基线、仓库完整性门禁、状态文档门禁、显式路径模块推送脚本、release manifest dry-run 检查、WSL 本地 MQTT 服务级核验、认证/ACL 冒烟入口、配置自检、可选 TLS/遗嘱/重复消息探测入口和 WSL EMQX 检查/启动/停止入口已补；生产部署、账号配置、真实验收仍未完成。 |
 | M01 后端 API 基础工程 | DONE | `2b90d1f` | docs/devlogs/2026-06-18-M01-C-轻量异步任务基础.md | 已完成 Fastify 后端骨架、数据库迁移兼容层，以及 MySQL outbox、幂等任务、租约领取、失败重试、人工补偿状态和独立 PM2 worker；WSL MySQL 8.4.9 往返迁移与 worker 重启持久性验证通过。 |
-| M02 登录、租户、权限 | TODO | - | - | - |
+| M02 登录、租户、权限 | PARTIAL | `8b8fb28` | docs/devlogs/2026-06-18-M02-A-多小程序租户模型.md | M02-A 已完成多应用、租户绑定、品牌配置和公开启动配置接口；下一阶段 M02-B 实现微信登录、用户身份、JWT 与可撤销会话。 |
 | M03 门店、房间、价格、营业时间 | TODO | - | - | - |
 | M04 订单、时段锁定、支付闭环 | TODO | - | - | - |
 | M05 会员、余额、套餐、优惠券 | TODO | - | - | - |