diff --git a/docs/全面代码审计报告-2026-06-21.md b/docs/全面代码审计报告-2026-06-21.md
index fd89a9158..c456f6b57 100644
--- a/docs/全面代码审计报告-2026-06-21.md
+++ b/docs/全面代码审计报告-2026-06-21.md
@@ -137,11 +137,35 @@
- 测试步骤改为 `python -m pytest tests -q`。
- Gitea 与 GitHub workflow 保持一致，避免 CI 双轨漂移。
+### 8. P1：Domain 层直接依赖 Redis/SMTP
+
+**涉及文件**：`packages/domain/auth/session_store.py`、`packages/domain/auth/email_service.py`、`packages/adapters/redis/session_store.py`、`packages/adapters/smtp/email_service.py`
+
+**问题**：
+- Domain 层直接 import Redis、SMTP、email MIME 等基础设施实现。
+- `packages.domain.auth.__init__` 导入时创建 Redis/SMTP 全局单例。
+- Application use case 通过模块全局变量调用外部服务，测试只能 patch 全局变量。
+
+**根因**：
+- 基础设施实现被放进了 domain 包，破坏 Clean Architecture 依赖方向。
+- 外部服务没有通过构造注入进入 use case。
+
+**修复**：
+- Redis session 实现迁移到 `packages/adapters/redis/session_store.py`。
+- SMTP email 实现迁移到 `packages/adapters/smtp/email_service.py`。
+- Domain 原路径保留兼容 shim，但不再导出全局外部服务单例。
+- 注册、登录、登出、密码重置、邀请成员 use case 改为构造注入，默认使用 adapter 懒加载工厂。
+- 相关测试从 patch 模块全局变量改为注入 mock 服务。
+
## 三、已补充测试
### 新增
- `tests/unit/test_auth_simple.py`
+- `tests/unit/test_login_use_case.py`
+- `tests/unit/test_register_user_use_case.py`
+- `tests/unit/test_password_reset_use_case.py`
+- `tests/unit/test_invite_member_use_case.py`
覆盖：
- 登录 token 是可验证 JWT。
@@ -153,9 +177,10 @@
```bash
python -m pytest tests/unit/test_auth_simple.py tests/unit/test_password_hasher.py tests/integration/test_generation_pipeline.py tests/integration/test_projects.py -q
+python -m pytest tests/unit/test_login_use_case.py tests/unit/test_register_user_use_case.py tests/unit/test_password_reset_use_case.py tests/unit/test_invite_member_use_case.py tests/unit/test_session_store.py tests/unit/test_email_service.py -q
```
-结果：`30 passed`
+结果：`30 passed`，`52 passed`
## 四、仍需继续治理的问题
diff --git a/packages/adapters/redis/__init__.py b/packages/adapters/redis/__init__.py
new file mode 100644
index 000000000..1d7a1be95
--- /dev/null
+++ b/packages/adapters/redis/__init__.py
@@ -0,0 +1,3 @@
+from packages.adapters.redis.session_store import RedisConfig, SessionStore, get_session_store
+
+__all__ = ["RedisConfig", "SessionStore", "get_session_store"]
diff --git a/packages/adapters/redis/session_store.py b/packages/adapters/redis/session_store.py
new file mode 100644
index 000000000..574537107
--- /dev/null
+++ b/packages/adapters/redis/session_store.py
@@ -0,0 +1,300 @@
+"""
+Redis Session 存储
+用于存储 refresh_token 和 Session 信息
+"""
+from typing import Optional
+from datetime import datetime, timedelta, timezone
+import json
+import redis
+from redis import Redis
+
+
+class RedisConfig:
+ """Redis 配置"""
+ HOST: str = "localhost"
+ PORT: int = 6379
+ DB: int = 0
+ PASSWORD: Optional[str] = None
+ DECODE_RESPONSES: bool = True
+
+
+class SessionStore:
+ """Session 存储服务"""
+
+ def __init__(self, redis_client: Optional[Redis] = None, config: Optional[RedisConfig] = None):
+ """
+ 初始化 Session 存储
+
+ Args:
+ redis_client: Redis 客户端（可选，用于注入）
+ config: Redis 配置（可选）
+ """
+ if redis_client:
+ self.redis = redis_client
+ else:
+ cfg = config or RedisConfig()
+ self.redis = redis.Redis(
+ host=cfg.HOST,
+ port=cfg.PORT,
+ db=cfg.DB,
+ password=cfg.PASSWORD,
+ decode_responses=cfg.DECODE_RESPONSES,
+ )
+
+ def _session_key(self, session_id: str) -> str:
+ """生成 Session key"""
+ return f"session:{session_id}"
+
+ def _refresh_token_key(self, session_id: str) -> str:
+ """生成 refresh_token key"""
+ return f"refresh_token:{session_id}"
+
+ def _user_sessions_key(self, user_id: str) -> str:
+ """生成用户所有 Session 的 key"""
+ return f"user_sessions:{user_id}"
+
+ def save_session(
+ self,
+ session_id: str,
+ user_id: str,
+ refresh_token: str,
+ device_info: str,
+ ip_address: str,
+ expires_in_seconds: int = 30 * 24 * 60 * 60, # 30 天
+ ) -> bool:
+ """
+ 保存 Session
+
+ Args:
+ session_id: Session ID
+ user_id: 用户 ID
+ refresh_token: 刷新令牌
+ device_info: 设备信息
+ ip_address: IP 地址
+ expires_in_seconds: 过期时间（秒）
+
+ Returns:
+ 是否保存成功
+ """
+ try:
+ now = datetime.now(timezone.utc)
+ expires_at = now + timedelta(seconds=expires_in_seconds)
+
+ session_data = {
+ "session_id": session_id,
+ "user_id": user_id,
+ "device_info": device_info,
+ "ip_address": ip_address,
+ "created_at": now.isoformat(),
+ "last_active_at": now.isoformat(),
+ "expires_at": expires_at.isoformat(),
+ }
+
+ # 保存 Session 数据
+ session_key = self._session_key(session_id)
+ self.redis.setex(
+ session_key,
+ expires_in_seconds,
+ json.dumps(session_data)
+ )
+
+ # 保存 refresh_token 映射
+ refresh_token_key = self._refresh_token_key(session_id)
+ self.redis.setex(
+ refresh_token_key,
+ expires_in_seconds,
+ refresh_token
+ )
+
+ # 添加到用户的 Session 集合
+ user_sessions_key = self._user_sessions_key(user_id)
+ self.redis.sadd(user_sessions_key, session_id)
+ self.redis.expire(user_sessions_key, expires_in_seconds)
+
+ return True
+ except Exception as e:
+ print(f"Failed to save session: {e}")
+ return False
+
+ def get_session(self, session_id: str) -> Optional[dict]:
+ """
+ 获取 Session
+
+ Args:
+ session_id: Session ID
+
+ Returns:
+ Session 数据，如果不存在返回 None
+ """
+ try:
+ session_key = self._session_key(session_id)
+ data = self.redis.get(session_key)
+
+ if data:
+ return json.loads(data)
+ return None
+ except Exception as e:
+ print(f"Failed to get session: {e}")
+ return None
+
+ def get_refresh_token(self, session_id: str) -> Optional[str]:
+ """
+ 获取 refresh_token
+
+ Args:
+ session_id: Session ID
+
+ Returns:
+ refresh_token，如果不存在返回 None
+ """
+ try:
+ refresh_token_key = self._refresh_token_key(session_id)
+ return self.redis.get(refresh_token_key)
+ except Exception as e:
+ print(f"Failed to get refresh_token: {e}")
+ return None
+
+ def update_last_active(self, session_id: str) -> bool:
+ """
+ 更新 Session 最后活跃时间
+
+ Args:
+ session_id: Session ID
+
+ Returns:
+ 是否更新成功
+ """
+ try:
+ session = self.get_session(session_id)
+ if not session:
+ return False
+
+ session["last_active_at"] = datetime.now(timezone.utc).isoformat()
+
+ session_key = self._session_key(session_id)
+ ttl = self.redis.ttl(session_key)
+
+ if ttl > 0:
+ self.redis.setex(
+ session_key,
+ ttl,
+ json.dumps(session)
+ )
+ return True
+
+ return False
+ except Exception as e:
+ print(f"Failed to update last active: {e}")
+ return False
+
+ def delete_session(self, session_id: str) -> bool:
+ """
+ 删除 Session（登出）
+
+ Args:
+ session_id: Session ID
+
+ Returns:
+ 是否删除成功
+ """
+ try:
+ session = self.get_session(session_id)
+ if not session:
+ return False
+
+ user_id = session["user_id"]
+
+ # 删除 Session 数据
+ session_key = self._session_key(session_id)
+ self.redis.delete(session_key)
+
+ # 删除 refresh_token
+ refresh_token_key = self._refresh_token_key(session_id)
+ self.redis.delete(refresh_token_key)
+
+ # 从用户 Session 集合中移除
+ user_sessions_key = self._user_sessions_key(user_id)
+ self.redis.srem(user_sessions_key, session_id)
+
+ return True
+ except Exception as e:
+ print(f"Failed to delete session: {e}")
+ return False
+
+ def get_user_sessions(self, user_id: str) -> list[dict]:
+ """
+ 获取用户的所有活跃 Session
+
+ Args:
+ user_id: 用户 ID
+
+ Returns:
+ Session 列表
+ """
+ try:
+ user_sessions_key = self._user_sessions_key(user_id)
+ session_ids = self.redis.smembers(user_sessions_key)
+
+ sessions = []
+ for session_id in session_ids:
+ session = self.get_session(session_id)
+ if session:
+ sessions.append(session)
+
+ return sessions
+ except Exception as e:
+ print(f"Failed to get user sessions: {e}")
+ return []
+
+ def delete_all_user_sessions(self, user_id: str) -> int:
+ """
+ 删除用户的所有 Session（强制登出所有设备）
+
+ Args:
+ user_id: 用户 ID
+
+ Returns:
+ 删除的 Session 数量
+ """
+ try:
+ sessions = self.get_user_sessions(user_id)
+ count = 0
+
+ for session in sessions:
+ if self.delete_session(session["session_id"]):
+ count += 1
+
+ # 清空用户 Session 集合
+ user_sessions_key = self._user_sessions_key(user_id)
+ self.redis.delete(user_sessions_key)
+
+ return count
+ except Exception as e:
+ print(f"Failed to delete all user sessions: {e}")
+ return 0
+
+ def session_exists(self, session_id: str) -> bool:
+ """
+ 检查 Session 是否存在
+
+ Args:
+ session_id: Session ID
+
+ Returns:
+ 是否存在
+ """
+ try:
+ session_key = self._session_key(session_id)
+ return self.redis.exists(session_key) > 0
+ except Exception:
+ return False
+
+
+_session_store = None
+
+
+def get_session_store() -> SessionStore:
+ global _session_store
+ if _session_store is None:
+ _session_store = SessionStore()
+ return _session_store
diff --git a/packages/adapters/smtp/__init__.py b/packages/adapters/smtp/__init__.py
new file mode 100644
index 000000000..63833654e
--- /dev/null
+++ b/packages/adapters/smtp/__init__.py
@@ -0,0 +1,3 @@
+from packages.adapters.smtp.email_service import EmailConfig, EmailService, get_email_service
+
+__all__ = ["EmailConfig", "EmailService", "get_email_service"]
diff --git a/packages/adapters/smtp/email_service.py b/packages/adapters/smtp/email_service.py
new file mode 100644
index 000000000..c64d75cbc
--- /dev/null
+++ b/packages/adapters/smtp/email_service.py
@@ -0,0 +1,335 @@
+"""
+邮件服务
+支持 SMTP 发送邮件（验证/重置密码/邀请等）
+"""
+import smtplib
+from email.mime.text import MIMEText
+from email.mime.multipart import MIMEMultipart
+from typing import Optional, List
+from dataclasses import dataclass
+
+
+@dataclass
+class EmailConfig:
+ """邮件配置"""
+ smtp_host: str = "smtp.gmail.com"
+ smtp_port: int = 587
+ smtp_user: str = ""
+ smtp_password: str = ""
+ from_email: str = ""
+ from_name: str = "小虾 SaaS"
+ use_tls: bool = True
+
+
+class EmailService:
+ """邮件服务类"""
+
+ def __init__(self, config: Optional[EmailConfig] = None):
+ """
+ 初始化邮件服务
+
+ Args:
+ config: 邮件配置
+ """
+ self.config = config or EmailConfig()
+
+ def send_email(
+ self,
+ to_email: str,
+ subject: str,
+ html_body: str,
+ text_body: Optional[str] = None,
+ cc: Optional[List[str]] = None,
+ bcc: Optional[List[str]] = None,
+ ) -> tuple[bool, Optional[str]]:
+ """
+ 发送邮件
+
+ Args:
+ to_email: 收件人邮箱
+ subject: 邮件主题
+ html_body: HTML 正文
+ text_body: 纯文本正文（可选，作为 HTML 的备用）
+ cc: 抄送列表
+ bcc: 密送列表
+
+ Returns:
+ (是否成功, 错误信息)
+ """
+ try:
+ # 创建邮件
+ msg = MIMEMultipart("alternative")
+ msg["Subject"] = subject
+ msg["From"] = f"{self.config.from_name} <{self.config.from_email}>"
+ msg["To"] = to_email
+
+ if cc:
+ msg["Cc"] = ", ".join(cc)
+
+ # 添加纯文本正文
+ if text_body:
+ part1 = MIMEText(text_body, "plain", "utf-8")
+ msg.attach(part1)
+
+ # 添加 HTML 正文
+ part2 = MIMEText(html_body, "html", "utf-8")
+ msg.attach(part2)
+
+ # 连接 SMTP 服务器
+ with smtplib.SMTP(self.config.smtp_host, self.config.smtp_port) as server:
+ if self.config.use_tls:
+ server.starttls()
+
+ # 登录
+ if self.config.smtp_user and self.config.smtp_password:
+ server.login(self.config.smtp_user, self.config.smtp_password)
+
+ # 发送
+ recipients = [to_email]
+ if cc:
+ recipients.extend(cc)
+ if bcc:
+ recipients.extend(bcc)
+
+ server.sendmail(
+ self.config.from_email,
+ recipients,
+ msg.as_string()
+ )
+
+ return True, None
+
+ except Exception as e:
+ return False, str(e)
+
+ def send_verification_email(
+ self,
+ to_email: str,
+ username: str,
+ verification_url: str,
+ ) -> tuple[bool, Optional[str]]:
+ """
+ 发送邮箱验证邮件
+
+ Args:
+ to_email: 收件人邮箱
+ username: 用户名
+ verification_url: 验证链接
+
+ Returns:
+ (是否成功, 错误信息)
+ """
+ subject = "验证您的邮箱 - 小虾 SaaS"
+
+ html_body = f"""
+
+
+
+
+
+
+
+
欢迎加入小虾 SaaS！
+
你好 {username}，
+
感谢您注册小虾 SaaS！请点击下面的按钮验证您的邮箱地址：
+
+
+ 如果按钮无法点击，请复制以下链接到浏览器：
+ {verification_url}
+
+
+ 此链接将在 24 小时后过期。
+
+
+
+ 如果您没有注册小虾 SaaS，请忽略此邮件。
+
+
+
重置密码请求
+
你好 {username}，
+
我们收到了重置您账号密码的请求。请点击下面的按钮重置密码：
+
+
+ 如果按钮无法点击，请复制以下链接到浏览器：
+ {reset_url}
+
+
+ 此链接将在 1 小时后过期。
+
+
+
+ 如果您没有请求重置密码，请忽略此邮件，您的密码不会被更改。
+
+
+
工作空间邀请
+
{inviter_name} 邀请您以 {role_display} 身份加入工作空间：
+
+
{workspace_name}
+
角色：{role_display}
+
+
+
+ 如果按钮无法点击，请复制以下链接到浏览器：
+ {invitation_url}
+
+
+ 此邀请将在 7 天后过期。
+
+
+
+ 如果您不认识邀请人或不想加入此工作空间，请忽略此邮件。
+
+
-
欢迎加入小虾 SaaS！
-
你好 {username}，
-
感谢您注册小虾 SaaS！请点击下面的按钮验证您的邮箱地址：
-
-
- 如果按钮无法点击，请复制以下链接到浏览器：
- {verification_url}
-
-
- 此链接将在 24 小时后过期。
-
-
-
- 如果您没有注册小虾 SaaS，请忽略此邮件。
-
-
-
重置密码请求
-
你好 {username}，
-
我们收到了重置您账号密码的请求。请点击下面的按钮重置密码：
-
-
- 如果按钮无法点击，请复制以下链接到浏览器：
- {reset_url}
-
-
- 此链接将在 1 小时后过期。
-
-
-
- 如果您没有请求重置密码，请忽略此邮件，您的密码不会被更改。
-
-
-
工作空间邀请
-
{inviter_name} 邀请您以 {role_display} 身份加入工作空间：
-
-
{workspace_name}
-
角色：{role_display}
-
-
-
- 如果按钮无法点击，请复制以下链接到浏览器：
- {invitation_url}
-
-
- 此邀请将在 7 天后过期。
-
-
-
- 如果您不认识邀请人或不想加入此工作空间，请忽略此邮件。
-
-