---
req_id: REQ-USR-003
date: 2026-04-30
round: 1
reviewer: superpower-code-reviewer
---

# Review: REQ-USR-003 — round 1

## 结论
approve

## Must-fix
（无）

## Nice-to-have

- backend/src/test/java/com/xly/erp/module/usr/controller/UserControllerIT.java:374-389 — `getDefaults_with_jwt_returns200_andList` 未断言 records[0] 不含 `sPasswordHash`。当前由 UserListVO 字段集（11 字段）静态保证，但缺防御性 IT。建议加 `assertThat(records.get(0).has("sPasswordHash")).isFalse()`。
- backend/src/test/java/com/xly/erp/module/usr/mapper/UserMapperIT.java:119-122 — `pageWithFilter_filtersAndJoins` 只断言 `row2.staffName == null`，未断言 `row2.department == null`。两者都是 LEFT JOIN，建议补全。
- backend/src/main/java/com/xly/erp/module/usr/service/impl/UserServiceImpl.java:253-259 — `parseBoolean` 对非法 value（如 "abc"）返回 -1，SQL `u.bDeleted = -1` → 0 结果，符合 spec line 91 "视为不命中"，但缺单测固化。建议加 `listWithBooleanFieldEqualsInvalid_passesNegativeOne`。
- backend/src/test/java/com/xly/erp/module/usr/controller/UserControllerIT.java:374-389 — `tLastLoginDate` JSON 序列化格式无端到端断言。LocalDateTime 默认 Jackson 行为依赖 `spring.jackson.serialization.write-dates-as-timestamps`；如全局未显式 ISO 配置，可能回归出 `[2026,4,30,9,0]` 数组形式。建议加 `assertThat(records.get(0).get("tCreateDate").asText()).matches("\\d{4}-\\d{2}-\\d{2}T.*")`。
- backend/src/test/java/com/xly/erp/module/usr/controller/UserControllerIT.java:374-389 — 默认 ORDER BY iIncrement DESC 无显式断言。建议在 getDefaults 中加 records 中 iIncrement 单调递减的断言形成回归保护。
- backend/src/test/java/com/xly/erp/module/usr/controller/UserControllerIT.java — Controller IT 中 'String token = ... HttpHeaders headers = ... headers.set(Authorization,...)' 模板代码重复 ~17 次。沿用 USR-001/002 dedupe 主题。建议抽 `private HttpHeaders authedJsonHeaders(String userNo)` helper。
- backend/src/test/java/com/xly/erp/module/usr/controller/UserControllerIT.java:392-405 — `getKeywordContains_filtersByUsername` 只插入 1 条匹配，但断言 forEach 检查每条含'包含查询'。如果 records 为空 forEach 0 次会 vacuously pass。建议加 `assertThat(records.size()).isPositive()`。
- Plan § 文件变更清单 line 28 明列 'Create: dto/UserListQuery.java'，实际实现把 5 参直接传 service。无 DTO 反而更简洁（局部变量足够）。属于 § 通用准则 §2 Simplicity First 合理体现。建议在 module-report § ⑤ 记一笔设计抉择回顾，不需要回填 DTO。

## 反例 / 测试覆盖缺口

Spec 接受标准 19 条全部映射到测试代码（service 10 + mapperIT 1 + controllerIT 8），mvn test 129/129 全绿。

- **SQL 注入安全姿态**：`${field}` / `${matchOp}` 都来自 service 端 FIELD_MAP / MATCH_MAP 白名单常量；外部用户输入只用作 Map.get 的 key，不命中即 40001；用户输入 `value` 走 `#{value}` 参数化。无注入风险。
- **field × match 兼容矩阵**（布尔/日期仅 equals）实现于 UserServiceImpl line 222，`listWithIncompatibleFieldMatch_throws40001` 覆盖。
- **不过滤 bDeleted=0** 是 spec 显式设计抉择（作废本身是查询字段），代码与 spec 一致。
- **计划偏离**：UserListQuery DTO 未创建（plan 列了，实现把 5 参直接传 service）—— 简化合理，无 must-fix。

非阻塞缺口（VO 敏感字段断言 / JSON 时间格式断言 / 排序断言 / IT dedupe / count assertion）均为健壮性补强，不阻塞 approve。
