fix(#558): 微信登录3个后端修复 - 验证码500 + 绑定500 + state校验 #684

Merged

xiaoxia merged 1 commits from fix/558-wechat-login-fixes into develop 2026-07-21 17:51:49 +08:00

Conversation 3 Commits 1 Files Changed 3

+90 -6

xiaoxia commented 2026-07-21 14:40:22 +08:00

Owner

Copy Link

Copy Source

修复内容

1. /auth/send-verification-code 500

• 根因：from app.dependencies import get_db 函数名错误，正确名称为 get_db_session
• 影响：邮箱+手机验证码发送全部挂

2. /auth/bind-contact 500

• 根因：同上，get_db 导入错误
• 影响：手机号/邮箱绑定接口挂

3. 微信回调接口增加 state 校验（防 CSRF）

• 新增 MemoryStateStore，state 有效期 10 分钟
• state 一次性使用，校验通过即消费
• 前端已生成并传递 state，后端此前只接收不校验，现在完整校验
• 多实例部署时可替换为 Redis 实现

测试

• 42 个相关单测全部通过
• 新增 3 个 state 校验专项测试：无效 state 拒绝 / 一次性使用 / 空 state 拒绝

## 修复内容 ### 1. /auth/send-verification-code 500 - **根因**：`from app.dependencies import get_db` 函数名错误，正确名称为 `get_db_session` - 影响：邮箱+手机验证码发送全部挂 ### 2. /auth/bind-contact 500 - **根因**：同上，`get_db` 导入错误 - 影响：手机号/邮箱绑定接口挂 ### 3. 微信回调接口增加 state 校验（防 CSRF） - 新增 `MemoryStateStore`，state 有效期 10 分钟 - state 一次性使用，校验通过即消费 - 前端已生成并传递 state，后端此前只接收不校验，现在完整校验 - 多实例部署时可替换为 Redis 实现 ## 测试 - 42 个相关单测全部通过 - 新增 3 个 state 校验专项测试：无效 state 拒绝 / 一次性使用 / 空 state 拒绝

xiaoxia added 1 commit 2026-07-21 14:40:22 +08:00

fix(#558): 微信登录3个后端修复 ... f67095ade6

- 修复 /auth/send-verification-code 500: get_db → get_db_session
- 修复 /auth/bind-contact 500: get_db → get_db_session
- 微信回调接口增加 state 校验（防 CSRF），内存 state store，10分钟有效期，一次性使用

gitea-actions bot commented 2026-07-21 14:41:27 +08:00

Copy Link

Copy Source

🚀 预览环境已部署

项目	详情
PR号	#684
预览链接	https://pr-684.preview.xiaoxiajianji.com
API环境	staging

💡 预览环境使用 staging API 数据，请勿在预览环境中操作重要数据。

🔄 每次提交新代码后预览环境会自动更新。

🗑️ PR 关闭或合并后，预览环境会自动清理。

🚀 **预览环境已部署** | 项目 | 详情 | |------|------| | PR号 | #684 | | 预览链接 | [https://pr-684.preview.xiaoxiajianji.com](https://pr-684.preview.xiaoxiajianji.com) | | API环境 | staging | > 💡 预览环境使用 staging API 数据，请勿在预览环境中操作重要数据。 > > 🔄 每次提交新代码后预览环境会自动更新。 > > 🗑️ PR 关闭或合并后，预览环境会自动清理。

auto-approve-bot commented 2026-07-21 14:43:51 +08:00

Collaborator

Copy Link

Copy Source

代码审查结果 - PR #684

⚠️ 问题（1个需要修改）

1. apps/api/app/api/routes/auth.py (send_verification_code 和 bind_contact 函数)：数据库连接资源泄露风险。代码中使用 db = next(get_db_session()) 手动获取数据库会话。如果 get_db_session 是标准的生成器依赖（包含 yield db 和 finally: db.close()），直接调用 next() 仅获取会话对象，函数结束后生成器未被耗尽或关闭，导致 finally 块中的 db.close() 永远不会执行。这将造成数据库连接泄露，高并发下会导致连接池耗尽服务不可用。

💡 建议（1个可选）

1. packages/application/auth/wechat_oauth_service.py：在异步环境（FastAPI）中使用 threading.Lock 会阻塞事件循环。虽然 WechatOAuthService 是同步类，但在异步路由中调用其方法（持有锁时）会阻塞整个事件循环，降低并发性能。建议将 MemoryStateStore 改为异步实现（使用 asyncio.Lock），或者确保该服务在线程池中运行。

---

✅ 格式检查通过 | ❌ 逻辑审查需修改 | ⚠️ 建议关注性能

---

_{🤖 由 AI 代码审查机器人自动生成 | 2026-07-21 14:43:51 | 模型:}

## 代码审查结果 - PR #684 ### ⚠️ 问题（1个需要修改） 1. **apps/api/app/api/routes/auth.py (send_verification_code 和 bind_contact 函数)**：数据库连接资源泄露风险。代码中使用 `db = next(get_db_session())` 手动获取数据库会话。如果 `get_db_session` 是标准的生成器依赖（包含 `yield db` 和 `finally: db.close()`），直接调用 `next()` 仅获取会话对象，函数结束后生成器未被耗尽或关闭，导致 `finally` 块中的 `db.close()` 永远不会执行。这将造成数据库连接泄露，高并发下会导致连接池耗尽服务不可用。 ### 💡 建议（1个可选） 1. **packages/application/auth/wechat_oauth_service.py**：在异步环境（FastAPI）中使用 `threading.Lock` 会阻塞事件循环。虽然 `WechatOAuthService` 是同步类，但在异步路由中调用其方法（持有锁时）会阻塞整个事件循环，降低并发性能。建议将 `MemoryStateStore` 改为异步实现（使用 `asyncio.Lock`），或者确保该服务在线程池中运行。 --- ✅ 格式检查通过 | ❌ 逻辑审查需修改 | ⚠️ 建议关注性能 --- _{🤖 由 AI 代码审查机器人自动生成 | 2026-07-21 14:43:51 | 模型:} <!-- AI_CODE_REVIEW_AUTO_COMMENT -->

xiaoxia merged commit 9f69fde30b into develop 2026-07-21 17:51:49 +08:00

gitea-actions bot commented 2026-07-21 17:52:13 +08:00

Copy Link

Copy Source

🗑️ 预览环境已清理

PR #684 已关闭或合并，对应的预览环境已被清理。

如有需要，可以重新打开 PR 来重新生成预览环境。

🗑️ **预览环境已清理** PR #684 已关闭或合并，对应的预览环境已被清理。 > 如有需要，可以重新打开 PR 来重新生成预览环境。

Sign in to join this conversation.

Reviewers

No Reviewers

Labels

Clear labels

P0

阻塞性，必须立即处理

P1

高优先级

P2

中优先级

P3

低优先级/后考虑

architecture

架构设计

backend

后端相关

blocked

阻塞中

bug

Bug修复

ci-bug

CI本身的bug

ci-optimization

CI优化类任务

ci-pipeline

CI流水线/workflow相关

cleanup

代码清理

devops

运维/部署/CI

documentation

文档相关

feature

新功能

frontend

前端相关

question

需要讨论确认

ready

PR CI通过，可合并

refactor

代码重构

No Label

Milestone

No items

No Milestone

Projects

Clear projects

No project

Assignees

Clear assignees

auto-approve-bot xiaoxia

No Assignees

3 Participants

Notifications

Subscribe

Due Date

No due date set.

Dependencies

No dependencies set.

Reference: xiaoxia/xiaoxia-saas#684