docs(usr): review approved + check off REQ-USR-003

zichun
1 parent c00054ea
Showing 2 changed files with 37 additions and 1 deletions
docs/08-模块任务管理.md
docs/superpowers/reviews/2026-04-30-REQ-USR-003.md
@@ -72,5 +72,5 @@
   - 功能:
     - [x] REQ-USR-001 用户新增
     - [x] REQ-USR-002 用户修改
-    - [ ] REQ-USR-003 用户查询
+    - [x] REQ-USR-003 用户查询
     - [ ] REQ-USR-004 用户登录
+---
+req_id: REQ-USR-003
+date: 2026-04-30
+round: 1
+reviewer: superpower-code-reviewer
+---
+
+# Review: REQ-USR-003 — round 1
+
+## 结论
+approve
+
+## Must-fix
+（无）
+
+## Nice-to-have
+
+- backend/src/test/java/com/xly/erp/module/usr/controller/UserControllerIT.java:374-389 — `getDefaults_with_jwt_returns200_andList` 未断言 records[0] 不含 `sPasswordHash`。当前由 UserListVO 字段集（11 字段）静态保证，但缺防御性 IT。建议加 `assertThat(records.get(0).has("sPasswordHash")).isFalse()`。
+- backend/src/test/java/com/xly/erp/module/usr/mapper/UserMapperIT.java:119-122 — `pageWithFilter_filtersAndJoins` 只断言 `row2.staffName == null`，未断言 `row2.department == null`。两者都是 LEFT JOIN，建议补全。
+- backend/src/main/java/com/xly/erp/module/usr/service/impl/UserServiceImpl.java:253-259 — `parseBoolean` 对非法 value（如 "abc"）返回 -1，SQL `u.bDeleted = -1` → 0 结果，符合 spec line 91 "视为不命中"，但缺单测固化。建议加 `listWithBooleanFieldEqualsInvalid_passesNegativeOne`。
+- backend/src/test/java/com/xly/erp/module/usr/controller/UserControllerIT.java:374-389 — `tLastLoginDate` JSON 序列化格式无端到端断言。LocalDateTime 默认 Jackson 行为依赖 `spring.jackson.serialization.write-dates-as-timestamps`；如全局未显式 ISO 配置，可能回归出 `[2026,4,30,9,0]` 数组形式。建议加 `assertThat(records.get(0).get("tCreateDate").asText()).matches("\\d{4}-\\d{2}-\\d{2}T.*")`。
+- backend/src/test/java/com/xly/erp/module/usr/controller/UserControllerIT.java:374-389 — 默认 ORDER BY iIncrement DESC 无显式断言。建议在 getDefaults 中加 records 中 iIncrement 单调递减的断言形成回归保护。
+- backend/src/test/java/com/xly/erp/module/usr/controller/UserControllerIT.java — Controller IT 中 'String token = ... HttpHeaders headers = ... headers.set(Authorization,...)' 模板代码重复 ~17 次。沿用 USR-001/002 dedupe 主题。建议抽 `private HttpHeaders authedJsonHeaders(String userNo)` helper。
+- backend/src/test/java/com/xly/erp/module/usr/controller/UserControllerIT.java:392-405 — `getKeywordContains_filtersByUsername` 只插入 1 条匹配，但断言 forEach 检查每条含'包含查询'。如果 records 为空 forEach 0 次会 vacuously pass。建议加 `assertThat(records.size()).isPositive()`。
+- Plan § 文件变更清单 line 28 明列 'Create: dto/UserListQuery.java'，实际实现把 5 参直接传 service。无 DTO 反而更简洁（局部变量足够）。属于 § 通用准则 §2 Simplicity First 合理体现。建议在 module-report § ⑤ 记一笔设计抉择回顾，不需要回填 DTO。
+
+## 反例 / 测试覆盖缺口
+
+Spec 接受标准 19 条全部映射到测试代码（service 10 + mapperIT 1 + controllerIT 8），mvn test 129/129 全绿。
+
+- **SQL 注入安全姿态**：`${field}` / `${matchOp}` 都来自 service 端 FIELD_MAP / MATCH_MAP 白名单常量；外部用户输入只用作 Map.get 的 key，不命中即 40001；用户输入 `value` 走 `#{value}` 参数化。无注入风险。
+- **field × match 兼容矩阵**（布尔/日期仅 equals）实现于 UserServiceImpl line 222，`listWithIncompatibleFieldMatch_throws40001` 覆盖。
+- **不过滤 bDeleted=0** 是 spec 显式设计抉择（作废本身是查询字段），代码与 spec 一致。
+- **计划偏离**：UserListQuery DTO 未创建（plan 列了，实现把 5 参直接传 service）—— 简化合理，无 must-fix。
+
+非阻塞缺口（VO 敏感字段断言 / JSON 时间格式断言 / 排序断言 / IT dedupe / count assertion）均为健壮性补强，不阻塞 approve。