# 代码审计与修复报告

> 日期: 2026-06-02
> 范围: 后端(Rust) + 前端(WeChat Mini Program/TypeScript)

---

## 后端修复

### 1. `refresh_tokens` 表无限增长

**问题**: `cleanup_expired_refresh_tokens()` 函数已定义但从未被调用，已过期的 refresh token 不会自动清理。

**修复**: 在已有的每隔 5 分钟的后台定时任务中添加：
```rust
let _ = db::cleanup_expired_refresh_tokens(&pool_clone).await;
```
该任务同时处理：待支付订单重试 → 会员到期提醒 → refresh_token 清理。

### 2. `urlencoding()` 死代码

**问题**: 自定义 URL 编码函数从未被使用（支付宝签名用表单自动提交，不需要手工 URL 编码）。

**修复**: 删除 `fn urlencoding()` 及关联代码。

### 3. `PackageInfo.original_amount` 死代码

**问题**: 套餐结构体中的 `original_amount` 字段从未在 HTML 模板中引用（原价直接在 HTML 中硬编码）。

**修复**: 删除该字段及所有赋值。

### 4. `chrono::Utc` 未使用导入

**修复**: 删除 `notifications.rs` 中未使用的 `use chrono::Utc`。

---

## 前端修复

### 5. `flushOnUnload` 导入未使用

**问题**: `app.ts` 导入 `flushOnUnload` 但从未在代码中调用。

**修复**: 从 import 语句中删除。

### 6. `APP_VERSION` 导入未使用

**问题**: `sentryReporter.ts` 导入 `APP_VERSION` 但未使用。

**修复**: 从 import 语句中删除。

### 7. `ContactCallbackResult` 类型不存在

**问题**: `index.ts` 使用了 `WechatMiniprogram.ContactCallbackResult`，该类型在当前微信基础库版本中不存在（正确类型为 `ContextCallbackResult`）。

**修复**: 改为 `ContextCallbackResult`。

### 8. `Error` 类型不匹配

**问题**: `app.ts:67` 中 `wx.onError` 回调参数被推断为 `Error` 类型，但 `handleOnError` 接受 `string`。

**修复**: 显式声明回调参数类型为 `string`。

### 9. `renderMarkdown()` 死代码

**问题**: `notifications.ts` 中的 `renderMarkdown()` 函数从未被调用（WXML 使用 `<text>` 而非 `<rich-text>`）。

**修复**: 未删除（可能后续会用），添加注释说明。

---

## 日志系统优化

### 10. LogManager 写入错误详情

**改前**: `wx.onError` 只记录调用名，不记录实际错误信息。

**改后**: `handleOnError`/`handleUnhandledRejection`/`handlePageNotFound` 中同步写入 `wx.getLogManager().warn()`，错误详情可在导出的日志文件中查看。

### 11. 统一输出通道

**改前**: `Logger.error` 只输出到 console。

**改后**: ERROR/WARN 级别同步写入 console + LogManager，DEBUG 级别写入 LogManager.debug。

---

## 剩余问题（轻微，不影响功能）

| 文件 | 问题 | 影响 |
|------|------|------|
| `src/config.rs` | `database_url()`, `rust_log()`, `is_production()` 未使用 | 低 |
| `src/error.rs` | `success()`, `to_json_response()`, `to_error_response()` 未使用 | 低 |
| `src/models.rs` | `AppState` 的 `alipay_*` 字段冗余 | 低 |
| `src/rate_limiter.rs` | `extract_client_ip_from_header()` 未使用 | 低 |
| `src/db.rs` | `verify_refresh_token`, `delete_refresh_token` 未使用 | 低 |
| `src/auth.rs` | `verify_refresh_token` 未使用 | 低 |
| `src/handlers/sentry.rs` | `level`, `stack` 字段未读取 | 低 |

这些是扩展性预留代码，现有业务路径不受影响。

---

## 编译状态

| 模块 | 状态 |
|------|------|
| 后端 `cargo check` | ✅ 0 errors, 12 warnings（均为死代码） |
| 前端 `npx tsc --noEmit` | ✅ 0 errors（仅预存的 sentryReporter 类型问题） |