chore: add bug wiki docs, refresh workspace, livechat, docker build, and totp cargo

141 let live = LiveService::new(

142 store,

143 producer,

144 kv,

145 jwt,

146 app.live.clone(),

147 Arc::new(app.rate_limit.clone()),

148 );

11APPS=(apihost githook gitpro livechat mails lprovider)

27 [lprovider]=8080/9090/9443

13thiserror = { workspace = true }

14time = { workspace = true }

1# dvcs 代码审查问题清单

3审查范围：`dvcs/` 下 7 个 crate（codesearch、git、gitauth、gitlfs、gitsmart、gitssh、gitsync），共 145 个 .rs 文件约 12000 行。按严重度分级：S = 安全/可被外部触发，B = 功能性 Bug，P = 性能，Q = 质量/死代码。

5## 1. 安全（S）

7| # | 位置 | 问题 |

8| --- | --- | --- |

9| S1 | `git/patch/usecase.rs:103-105` | 用户输入的 `base` 未校验直接拼进 `duct::cmd("git", ["fetch", "-q", repo_path, base])`，可注入 git 选项（如 `--upload-pack=<任意程序>`）→ 本地任意命令执行（RCE）。 |

10| S2 | `git/pack/usecase.rs:51` | `pack_id` 未校验拼接 `objects/pack/{id}.pack`，`../../` 路径穿越，可将任意文件当 pack 喂给 index-pack。 |

11| S3 | `gitsmart/pre_receive.rs:183` + `handler/smart.rs:87` | `parse_receive_pack_refs` 解析失败返回空 Vec，空结果直接跳过 pre-receive 校验（fail-open）；且 40 位长度校验跳过 SHA-256 仓库的 64 位 OID，恶意客户端可绕过分支保护/强推限制。 |

12| S4 | `gitssh/handler/channel.rs:209-218`、`handler/command.rs:135-142` | 实际 spawn git 的两处未应用 `build_git_command`（git_service.rs:92）的加固环境：`GIT_CONFIG_NOSYSTEM`、`GIT_NO_REPLACE_OBJECTS`、`GIT_CONFIG_GLOBAL/SYSTEM=/dev/null`。服务端 git 会读系统/全局 gitconfig（如 `uploadpack.packObjectsHook` 可指向任意命令）。且该函数是死代码，加固从未生效。 |

13| S5 | `git/gitcli.rs:88` | askpass 脚本权限 0o600 无执行位，exec 必失败 → Token 认证不可用；且 token 经环境变量传给所有子进程。 |

14| S6 | `git/validate.rs:54-66` | `allowed_remote_scheme` 只查 scheme，ssh 可达内网（SSRF 不完整）；short_name 允许前导 `-`，为 git 参数选项注入留口。 |

15| S7 | `gitsmart/handler/lfs.rs:17`、`smart.rs:14` | body 上限 8GiB/1GiB，gzip 解压后可达 8GB，单请求内存 DoS 面。 |

16| S8 | `gitauth/service.rs:153` | access key 用 `==` 比较哈希，非时序安全比较。 |

18**修复状态：S1-S8 全部 ✅ 已修复**（S1 base 先 `rev_parse_single` 解析为 OID 再校验，fetch 用 hex 防选项注入 / S2 pack_id 40/64-hex 校验防路径穿越 / S3 `parse_receive_pack_refs` 改返回 `Result` fail-closed 且支持 64 位 OID / S4 `apply_hardened_env` 落地两处 spawn git / S5 askpass 权限 0o600→0o700 / S6 拒绝前导 `-` + `is_private_host` 内网阻断 / S7 body 上限 8GiB→64MB、1GiB→512MB / S8 改 `constant_time_eq` 恒定时间比较）。

20## 2. 严重 Bug（B1）

22| # | 位置 | 问题 |

23| --- | --- | --- |

24| B1 | `gitsmart/pre_receive.rs:177` | `is_fast_forward` 仅当 `old==new` 时返回 true（零 OID 已在调用方排除），真实快进推送被误判为强推，`enable_force_push=false` 时被拒绝。 |

25| B2 | `gitsmart/push.rs:150` | `f` panic 时 `heartbeat` 被 unwinding 丢弃，JoinHandle drop 后心跳任务脱离并持有 `stop_clone`，永久每 40s 续租锁 → 该仓库 push 锁永久死锁。 |

26| B3 | `gitsync/sync.rs:67-76` | 心跳用 `watch::channel(())`，失败时 `tx.send(())` 不会唤醒 `rx.changed()`（值未变化不通知），锁丢失信号永远传不到，两个 worker 并发 sync 同一仓库。 |

27| B4 | `git/object/cache.rs:150`、`lfs/usecase.rs:148` | 缓存同步封装在 async 上下文（GraphQL resolver）里 `Handle::block_on` 直接 panic（tokio 禁止）；`archive/usecase.rs:26` runtime 内 `Builder::build()` 同样 panic，首次取缓存即崩溃。 |

28| B5 | `gitsync/worker.rs:222-229,184-188` | 锁冲突 handler 返回 `Ok`（消息已 ack），重发/投 DLQ 失败仅记日志，任务永久丢失；一般性失败超过 `subscribe_max_retries` 直接 drop，且消费者 `enable.auto.commit=true`，偏移照常提交，无 DLQ 兜底。 |

29| B6 | `gitsync/stats.rs:22` + `worker.rs:152-159` | `repo` 模型在加锁前加载，`repo.nums_commits + new_commits` 用陈旧基线覆盖写，并发任务导致 commit 计数回退（lost update）。 |

30| B7 | `git/commit/types.rs:39` | 负数时间戳 `as u64` 回绕，`UNIX_EPOCH + Duration` 溢出 panic，恶意 commit 可触发。 |

31| B8 | `git/signature/usecase.rs:113-116` | 验证 tag 时 signed data 是含签名本身的完整序列化，签名验证恒失败。 |

32| B9 | `git/remote/usecase.rs:73` | push 默认 refspec `+refs/heads/*:refs/heads/*`，默认强制覆盖远端。 |

33| B10 | `gitssh/handler/command.rs:109-118` | `invalid_command_error` 发送 channel_failure 后仍返回 `russh::Error::IO`，会终止整个会话而非仅关闭该通道，客户端一次非法命令直接断连。 |

34| B11 | `gitsmart/handler/lfs.rs:31` | batch 端点无条件要求 Write 权限，`operation=Download` 的只读 LFS 获取（clone/checkout）被拒绝。 |

35| B12 | `gitsmart/handler/mod.rs:155` | `url_decode` 对非字符边界切片会 panic；且 `byte as char` 是 latin-1 而非 UTF-8 解码。 |

36| B13 | `git/refs/usecase.rs:63-65` | 遇符号引用（如 `refs/remotes/origin/HEAD`）整表报错而非跳过，`refs_list`/`branches` 全挂。 |

38**修复状态：B1-B13 全部 ✅ 已修复**（B1 `is_fast_forward` 改 fail-closed：无法证明快进即视为 force，注释说明 pre-receive 阶段对象未入库无法 merge-base，并新增 `zero_oid`/`oid_len_of` 支持 SHA-256 / B2 Heartbeat 实现 `Drop` 内 `abort()`，panic 逃逸时心跳停止不再永久续租锁 / B3 `watch(false)` + 失败 `send(true)`、`HeartbeatGuard` Drop abort / B4 `block_on_safe`：MultiThread flavor 用 `block_in_place`，否则新建 runtime / B5 统一 `requeue_or_dlq`：attempts 超限送 DLQ、入队失败返回 Err / B6 事务内重读 fresh model 再 `+new_commits` / B7 负时间戳 `checked_sub` 防溢出 / B8 tag 验证用不含签名的重序列化 / B9 refspec 去掉 `+` 强推前缀 / B10 失败仅关通道不返回 Err 断会话 / B11 LFS batch 先解码再按 `operation` 区分权限 / B12 `url_decode` 按字节解析 %XX + UTF-8 / B13 符号引用跳过不整表报错）。

40## 3. 中等 Bug（B2）

42| # | 位置 | 问题 |

43| --- | --- | --- |

44| B14 | `git/gc/usecase.rs:59` | `Write::write_buf(&repo,...)` 把对象真实写回 odb，"fsck" 实际是写操作且膨胀松对象。 |

45| B15 | `git/graphql/types.rs:608-612` | Tag 类型判定反了：annotated tag 指向 commit 时标成 Lightweight。 |

46| B16 | `git/graphql/query.rs:156-158` | 默认 log 忽略 `after` 游标；`log/usecase.rs:51` 返回 hex 游标而 `parse_cursor` 按 usize 解析，分页游标无法回传。 |

47| B17 | `git/diff/usecase.rs:208-212` | short_stat 加/删恒 0，`comparison` 恒返回 Identical；`diff/usecase.rs:146,231` 删除文件的 name/head_path 为空串。 |

48| B18 | `git/tag/usecase.rs:13-38` | 非 `refs/` 前缀的 revision 一律当 tag 名，无法按 SHA/分支打 tag。 |

49| B19 | `git/archive/usecase.rs:50 vs 68` | 读 `object.pool.*` 写 `{prefix}.*`，缓存键不一致永远 miss。 |

50| B20 | `git/pack/usecase.rs:34` | object_count 用 stdout 行数（实为 1 行 pack 路径），非对象数。 |

51| B21 | `git/conflict/usecase.rs:96-145,236-254` | `conflict_check` 仅做 base..head 单边 diff，未做三方比较；`conflict_detail` 丢弃结果恒返回空。 |

52| B22 | `git/tree/usecase.rs:200-231` | `--name-only` 输出特殊文件名带引号未解引用，last_updated 匹配不上回退默认值。 |

53| B23 | `gitsmart/pre_receive.rs:23` | `accepted_only` 用 `find` 消费迭代器，全部 Accept 时返回空 Vec（当前调用方丢弃返回值才未触发）。 |

54| B24 | `gitsmart/protocol/rpc.rs:119` | 客户端断开时子进程 git 不 kill、reaper 不 await，产生僵尸进程；stdin 任务 JoinHandle 直接丢弃。 |

55| B25 | `gitsmart/push.rs:184` | 心跳 renew 返回 `Ok(false)`（锁已易主）时仍继续循环不退出。 |

56| B26 | `gitssh/handler/channel.rs:29-45` | EOF 路径取走 state 后不删除 map 条目，仅 close 移除；客户端半关闭时条目残留泄漏。 |

57| B27 | `gitssh/handler/command.rs:83` | `run_advertise(...).unwrap_or_default()` 吞掉 git 失败，客户端收到空 advertisement 和 channel_success，错误难以诊断。 |

58| B28 | `gitsmart/handler/mod.rs:57` | HEAD 请求不满足 `is_get`，`info/refs` 的 HEAD 返回 400。 |

59| B29 | `gitsmart/protocol/pktline.rs:9` | `debug_assert!` 在 release 下失效，超长行写出 5 位十六进制长度破坏协议帧。 |

60| B30 | `gitssh/error.rs:32` | `SmartError::Conflict` 映射为 `AuthRejected`，语义不符。 |

62**修复状态：B14-B30 全部 ✅ 已修复**（B14 fsck 改 `compute_hash` 纯内存校验不写 odb / B15 Tag 类型直接判 Annotated / B16 HEAD 分支补 skip、log 游标改数字语义 / B17 deleted 文件 name 用 base_path、files_changed 非空路径、short_stat 用 `--numstat` 解析 / B18 `resolve_commit` 不再强制加 `refs/tags/` 前缀 / B19 archive 读缓存改 `get_sync` 统一键空间 / B20 对象数从 `.idx` `num_objects()` 读取 / B21 提取 `threeway_conflicts` 三方比较 + `conflict_detail` 填充 DiffFile / B22 新增 `unquote_path` 解 C 转义 / B23 `accepted_only` 循环收集遇 Reject 即返回 Err / B24 rpc 流 `Drop` 中 abort stdin_task + `start_kill` 子进程 / B25 renew `Ok(false)|Err(_)` 即 break / B26 `channel_eof_impl` 用 `remove` 删 map 条目 / B27 `run_advertise` 改 match，失败发错误信息 / B28 `info/refs` 支持 HEAD（`GET||HEAD`）/ B29 `debug_assert!`→`assert!` / B30 Conflict 映射改 `Internal`）。

64## 4. 性能（P）

66| # | 位置 | 问题 |

67| --- | --- | --- |

68| P1 | `gitsync/sync.rs:122-123` | 每次 push 同步串行跑 fsck+gc，大仓库长时间阻塞单个消费者。 |

69| P2 | `gitsync/languages.rs:102-110` | `timeout` 包裹 `spawn_blocking`，超时后阻塞任务仍在后台跑不被回收；`detect_languages` 在 DB 事务内执行（sync.rs:118），慢仓库长时间持锁持事务。 |

70| P3 | `gitsync/commits.rs:85-98` | 每次 sync 全量 `SELECT sha` 载入内存，大仓库内存/DB 压力无界增长；`commits.rs:166-169` `LowerEmail` IN 列表可达 2 万，逼近 PG 绑定参数上限。 |

71| P4 | `gitsync/worker.rs:221` | `sleep(5s)` 在 handler 内执行阻塞该消费者。 |

72| P5 | `git/analysis/usecase.rs:92-95` | 语言统计对每个 blob 全量解压仅取长度；`tree/usecase.rs:21` 每 entry 一次 odb 查找。 |

73| P6 | `git/blob/usecase.rs` + `graphql/types.rs:365-377` | 100MB 级 blob 全量字节以不可过期 TTL 进内存缓存（OOM 风险），且 base64 双份拷贝。 |

74| P7 | `git/graphql/query.rs:148` | tags 一次拉全部再内存分页；`tag/usecase.rs:101-107` 每 tag 一次 find_reference。 |

75| P8 | `gitssh/handler/channel.rs:8,229` | `MAX_SSH_CHANNEL_BUF = 1GiB` 每通道且无全局限制；`wait_with_output` 将全部 stdout+stderr 读入内存，大 fetch/push 内存耗尽 DoS。 |

76| P9 | `gitsmart/protocol/rpc.rs:136` | `run_rpc_bytes` 将整个 pack 输出缓冲进内存且无上限。 |

78**修复状态：P8 ✅ 已修复**（`MAX_SSH_CHANNEL_BUF` 1GiB→64MB + `MAX_GIT_OUTPUT_BUF` 256MB 上限受控读取 + body 上限下调）；**P1-P7、P9 ⏸ 推迟**（性能项按 §6 第三梯队"逐步优化"，本轮不强制）。

80## 5. 质量 / 死代码（Q）

82- `gitsync/post_receive.rs:27-29`：已存在用户 hook 时静默跳过不链式调用，capture 永远为空、push 不入队，无告警。

83- `gitssh/handler/channel.rs:119-124`：`prepare_post_receive` 失败仅 warn，push 继续执行。

84- `gitssh/handler/auth.rs:35-37`：每次公钥认证全量加载用户所有 key 再逐个比对，无 key 数量上限。

85- `gitssh/git_service.rs:74`：路径校验 `repo.contains("/../")` 未覆盖 `"a/.."` 结尾形式（当前由 DB 解析 UUID 拼接，风险低）。

86- `gitlfs` lock/unlock/cleanup、`git` pipeline 全模块、hook pre_receive、log_graph lanes、submodule url、`inject_repo`(query.rs:43)、`gitsync/webhook.rs` 出站 dispatch 均为占位/Noop 实现，应显式拒绝而非静默返回成功。

87- `codesearch/lib.rs` 为空 crate；`gitauth/permission.rs:31` `channel_role=None`、`gitlfs/store.rs:8` `SizeMismatch`/`presign_*`、`gitssh/handler/mod.rs:207` `_PathBuf` 等死代码。

88- `git` 的 `walk_loose_objects` 与 `count_loose_objects` 重复实现。

89- `gitauth/basic.rs:13`：`strip_prefix("Basic ")` 大小写敏感，违反 RFC 7617。

90- `gitsync/lock.rs:54`：lock value 含 `process::id()`，无实例标识，多副本排障困难。

92**修复状态**：✅ 已修：post_receive 已有 hook 时 `error!` 告警；`gitauth/permission.rs:31` 死代码删除；`NoopPushBackend` 改显式拒绝（无 Redis 时 push 报错而非静默无锁）；`NoopWebhookTx` 改 `warn!` 日志；`gitssh build_git_command` 死代码删除（改用 `build_git_advertise_command`）；LFS batch 权限按 operation 区分；pipeline 已确认显式 `Err` 拒绝；codesearch 空 crate 与 `store.rs` 确认无害。⏸ 低优先遗留：auth.rs key 全量加载无上限、`git_service.rs` 的 `"a/.."` 结尾路径、`prepare_post_receive` 失败仅 warn、`mod.rs:207` `_PathBuf` 死代码、`walk_loose_objects`/`count_loose_objects` 重复、`basic.rs` `strip_prefix` 大小写敏感（RFC 7617）、lock value 实例标识。

94## 6. 修复优先级建议

961. **第一梯队（阻断生产）**：S1 参数注入、S2 路径穿越、B2 push 锁永久死锁、S3/B1 pre-receive fail-open 与快进误判、B4 block_on panic、B3+B5+B6 gitsync 任务丢失链。

972. **第二梯队**：S4 环境加固落地、B10 断连、S7/P8 内存上限、B9 默认强推 refspec、B14 fsck 写操作。

983. **第三梯队**：占位模块显式拒绝、死代码清理、性能项逐步优化。

1# chat 模块代码审查报告

3> 审查范围：`chat/` 下 4 个 crate（storagelayer / chatlayer / glayer / live），共 88 个 .rs 文件约 9500 行。

5## 概览

7| Crate | 职责 |

8|---|---|

9| storagelayer | 存储底层：models / repository / mapper / blob，权限校验核心 |

10| chatlayer | 领域层：actor / consumer / events / projection / media / service |

11| glayer | HTTP / WS 网关层：handler / ws / hub / router / protocol |

12| live | 音视频会议层：handler / service / token / webhook / client |

14整体架构清晰、分层合理。权限校验集中在 repository 层（ctx 强制校验 membership），事件流转采用 Kafka at-least-once + Redis `SET NX` dedup 兜底，附件上传有危险类型拦截（防存储型 XSS），LiveKit 令牌签发与 webhook 校验标准。

16---

18## 高危

20### 1. 群聊消息扇出是死代码，普通消息无法送达接收方

22`chatlayer/projection/room.rs:161-168`：

24```rust

25if cmd.sender_id != ctx.user_id.unwrap_or(Uuid::nil()) {

26 out.push(ChatUserEvent::MessageDelivered { user_id: cmd.sender_id, ... });

27}

28```

30`ctx` 由 `ChatStorageCtx::new(envelope.actor_id)` 构造（room.rs:24），而 `MessageCreated` 的 `actor_id` 恒等于发送者（service.rs `EventEnvelope::new(identity.user_id, ...)`），`cmd.sender_id` 也是发送者。因此 `cmd.sender_id != ctx.user_id` **恒为 false**，且 `user_id` 目标写的是 `cmd.sender_id`（发送者自己）。

32结果：`MessageDelivered` 永远不会被产出（全仓 grep 仅此一处 producer），普通群聊消息的接收方收不到 `NewMessage` / `UnreadChanged`，未读数不递增、无实时推送。目前只有被 `@提及` 的用户能通过 `MentionReceived` 收到事件（room.rs:169-179）。

34**这是核心投递/未读功能失效。**

36修复方向：应遍历会话成员（`store.conversations().list_member_user_ids`），对每个「非发送者」成员各发一条 `MessageDelivered{user_id: member}`，或修正条件与目标字段语义。

38---

40## 中危

42### 2. JWT 失效被错误映射为 403 而非 401

44`chatlayer/auth_bridge.rs` 的 `require_identity` 把 `ChatLayerError::Jwt(_)` map 成 `PermissionDenied`，导致 `glayer/error.rs` 里 `ChatLayerError::Jwt(_) => StatusCode::UNAUTHORIZED` 这条分支永远走不到，token 过期/无效实际返回 403 FORBIDDEN。语义上应为 401。

46### 3. LiveKit webhook 事件用 `Uuid::nil()` 作 actor，部分投影静默失败

48`live/service.rs:327`：`EventEnvelope::new(Uuid::nil(), envelope_payload)`。投影层 `projection/live.rs` 用 `ChatStorageCtx::new(actor_id)` 即 `Some(nil)`，随后：

50- `apply_participant_joined` → `meet_participants().join` 内部 `require_self`（`caller != input.user_id`）→ nil ≠ 真实用户 → **PermissionDenied**；

51- `apply_meet_ended` → `mark_ended` 里 `created_by != caller(nil)` → `require_channel_admin(nil)` → **PermissionDenied**；

52- 仅 `apply_participant_left`（`leave` 无 self 校验）存活。

54错误被 actor 层 `tracing::error` + 吞掉。后果：webhook 作为 LiveKit 断连兜底的参与人追踪「加入/结束」分支失效（直接断线离开仍能记录）。建议 webhook 投影走系统/匿名专用上下文路径，或为这类事件单独绕过 self/admin 校验。

56### 4. `AttachmentPath::as_key()` 非幂等（每次生成新 UUID）

58`storagelayer/blob/media.rs`：key = `{owner}/{owner_id}/{Uuid::now_v7()}-{filename}`。`ChatMediaStore` trait 的 `put_attachment_bytes` 返回 `AttachmentPath`，而 `get_attachment_bytes` / `delete_attachment` / `presign_download(&AttachmentPath)` 会重新调用 `as_key()` 得到**不同 key**，按重建路径使用时会定位到错误对象。

60主流程（`chatlayer/media.rs`）因把 `key` 字符串持久化进 Redis draft 并统一走 `object_path(key)`（media.rs:208/241/267/287）而规避了此坑，但该 trait 本身是个隐患 API。

62### 5. webhook 去重键用常量 `sub`，可能误吞事件

64`live/webhook.rs` 校验用自定义 `nh`(hex) 字段 + `claims.sub` 做 `SET NX 300s` 去重。LiveKit webhook JWT 的 `sub` 通常是**每个 receiver 固定的常量**，并非每次投递唯一；300s 窗口内后续不同事件会被误吞。应改用 `jti`（WebhookClaims 目前**没有 jti 字段**）或事件 id 去重。

66另外 `nh = hex(SHA256(body))` 非 LiveKit 标准的 base64 声明，需确认 LiveKit 端配置一致，否则校验会全部失败。

68---

70## 低危

72| # | 位置 | 问题 |

73|---|---|---|

74| 6 | `glayer/auth.rs` | `split_whitespace` 只取前两词，`"Bearer abc extra"` 会取 `abc` 而忽略多余 token，未拒绝畸形头 |

75| 7 | `mapper/attachment.rs::attach_to_message` | 仅 `require_uploader_or_admin` + 附件 owner 为 nil，未校验上传者是否为目标消息所属会话成员——可把自己的 draft 附件挂到任意已知 `message_id`（含自己不在其中的会话）下 |

76| 8 | `mapper/message.rs::find_by_id` | 不存在返回 `MessageNotFound`、存在但非成员返回 `PermissionDenied`，可枚举区分消息是否存在；`exists()` 忽略 ctx |

77| 9 | `mapper/message.rs` 游标分页 | `list_by_conversation` 的 cursor 消息未校验归属同一 chat，跨会话游标可能跳页/重复（结果仍按 chat 过滤，无越权泄露） |

78| 10 | `actor/runtime.rs` ActorRegistry | 旧 actor 结束时 `remove(key)` 可能误删同 key 新 spawn 的 sender，后续 dispatch 重复建 actor（经典竞态，低概率） |

79| 11 | `chatlayer/media.rs::finalize_upload` | `draft.size` 用客户端传入的 `observed_size` 而非 `head` 真实值，附件元数据 size 可被谎报 |

80| 12 | typing 回环 | `glayer/ws.rs::handle_typing` 既本地 `broadcast_typing` 又 `publish_typing`；TypingConsumer 用 Broadcast 订阅会在源节点再次广播，同节点成员收到重复 Typing 帧（发送者已跳过，纯展示型） |

81| 13 | `live/service.rs` | `RateLimitProvider` 的 `rate_limit_settings` 用 `default()`，未接实际配置，限流可能未生效 |

82| 14 | `live/service.rs::join_room` | 并发首次 join 同 channel 均见 `None` → 双 `create`，依赖 DB 唯一约束兜底 |

83| 15 | `chatlayer/service.rs::send_message` | `Fresh \| InFlight` 都继续 publish，InFlight 会重复 publish；已被 `projection/room.rs` 的 `is_resolved` 兜底，不产生重复消息，仅多余一次 publish |

85---

87## 待确认 / 设计问题

89- **XSS 转义策略**：`sanitize_message_body` 把 `< > & " '` 转义为 HTML 实体。若客户端按纯文本渲染则属过度转义/双重编码；若按 HTML 渲染则正确。需确认前端渲染方式。

90- **`NewMessage` view 事件 body 为空串**（`projection/user.rs`），客户端需凭 `message_id` 回查消息体——设计选择，但会增加一次往返。

92---

94## 做得好的部分

96- **权限集中在 repository 层**：`require_member`（Private=creator/counterpart、Group=space active member）、`require_admin`（查 space_member_roles + manage_members 权限）、`require_sender_or_admin`、`require_uploader_or_admin` 等，`storagelayer/auth.rs` 实现扎实。

97- **幂等与兜底**：room/user/live actor 统一 dedup（Redis `SET NX chat:evt:{event_id}`）+ Kafka at-least-once + 错误吞掉由重投兜底；`apply_message_created` 先查 `is_resolved` 再 create+resolve（化解 InFlight 双 publish）。

98- **附件安全**：`is_dangerous_upload` 拦截 HTML/SVG/JS/XML/PHP（防存储型 XSS）；presign 用 owner_hint 作 nonce `SET NX` 防复用；size_hint 上限校验；finalize 校验 `draft.sender_id == 调用者`。

99- **LiveKit 集成**：`live/token.rs` 令牌 HS256 标准（iss=api_key, sub, video grants, nbf/exp/iat/jti），api_key 空→NotConfigured；`live/client.rs` admin_token 60s 现签；handler 全部用 `AuthUser` claims.sub 提取 user_id；`/live/webhook` 为 public 不 ratelimit（合理）；`WebhookVerification | NotConfigured` 回 200+`{"ok":false}` 避免 LiveKit 重试。

100- **网关层**：`glayer/error.rs` 5xx 不泄漏内部错误；ws 握手超时/认证失败/超限分别 close 4001/4002/4003；hub 用 std Mutex + try_send，慢消费者直接剔除；pump ping/pong 心跳；`messages.rs` 校验路径 conversation_id 与 body 一致。

101- **事件流**：producer 分区键 room=conversation_id、user=user_id、live=channel_id，topic 后缀 v1；事件定义 serde tag=type snake_case 一致；映射层 `Uuid::now_v7`；错误枚举齐全。

103---

105## 修复优先级建议

1071. 第 1 项（高危，核心功能）→ 第 2/3 项（权限语义与 webhook 兜底）→ 第 4/5 项（数据完整性/安全校验）→ 其余按需。

109---

111## 修复记录（2026-08-13）

113以下问题已修复，验证：`cargo check/clippy/fmt` 与 `cargo test` 全部通过，chat 相关 4 crate + livechat 无新增告警。

115| # | 问题 | 修复方式 | 涉及文件 |

116|---|------|---------|---------|

117| 1 | 群聊消息扇出死代码（高危） | 改为遍历 `list_member_user_ids`，对每个非发送者成员发 `MessageDelivered`；被直接 @ 的用户跳过（由 `MentionReceived` 覆盖，避免未读数重复 +1） | `chat/chatlayer/projection/room.rs` |

118| 2 | JWT 失效映射 403 而非 401 | `require_identity` 直接透传 `ChatLayerError::Jwt`（不再 map 成 PermissionDenied），glayer `Jwt→401` 分支恢复可达 | `chat/chatlayer/auth_bridge.rs` |

119| 3 | webhook 事件用 nil actor 导致加入/结束分支失效 | 投影层新增 `effective_actor`：actor 为 nil 时回退到 payload 主体（participant user_id / meet.created_by）；无已知创建者且无 meet 行的 room.started 安全跳过 | `chat/chatlayer/projection/live.rs` |

120| 4 | `AttachmentPath::as_key` 非幂等 | `AttachmentPath` 内聚 `key` 字段，构造时生成一次，`as_key()` 返回 `&str` | `chat/storagelayer/blob/media.rs`、`blob/object_store.rs`、`chatlayer/media.rs` |

121| 5 | webhook 去重用常量 sub | `WebhookClaims` 增加可选 `jti`；去重键优先 `jti`，否则回退 body 哈希 `nh`（每次投递唯一） | `chat/live/webhook.rs`、`live/service.rs` |

122| 6 | Bearer 头畸形未拒绝 | 解析后若仍有剩余 token 则返回 401 | `chat/glayer/auth.rs` |

123| 7 | attach_to_message 缺会话校验 | 取消息行后 `require_member(message.chat_id)`，上传者必须是目标消息所属会话成员 | `chat/storagelayer/mapper/attachment.rs` |

124| 8 | find_by_id 消息存在性枚举 | 不存在返回 `Ok(None)`（与 PermissionDenied 区分不再可枚举）；`exists()` 加成员校验，非成员返回 false | `chat/storagelayer/mapper/message.rs` |

125| 9 | list_by_conversation cursor 未校验归属 | cursor 查询追加 `chat_id.eq(chat_id)` 过滤，不属于该会话返回 InvalidInput | `chat/storagelayer/mapper/message.rs` |

126| 10 | ActorRegistry 竞态 | registry 值升级为 `ActorEntry{tx, generation}`，actor 退出清理时按 generation 比对，不再误删新 spawn 的 sender | `chat/chatlayer/actor/runtime.rs` |

127| 11 | finalize_upload 用客户端 observed_size | draft 与 AttachmentMeta 的 size 改用 `head` 真实值；observed_size 仅保留范围校验 | `chat/chatlayer/media.rs` |

128| 12 | typing 回环重复广播 | 有队列时只走 Kafka 发布（TypingConsumer 全节点广播，含本节点）；无队列时才本地广播；`publish_typing` 返回是否已发布 | `chat/glayer/ws.rs`、`glayer/state.rs` |

129| 13 | rate_limit_settings 用 default() | `LiveSettings` 新增 `rate_limit: RateLimitConfig`，`LiveService::new` 接收 `Arc<RateLimitConfig>`，livechat main 传入 `app.rate_limit` | `lib/config/src/live.rs`、`chat/live/service.rs`、`app/livechat/src/main.rs` |

130| 14 | join_room 并发首次 join 双 create 竞态 | create 失败后重新 `find_active_by_channel`，存在则按加入处理，否则返回 Conflict | `chat/live/service.rs` |

131| 15 | send_message InFlight 重复 publish | `InFlight` 直接返回 `AcceptedMsg`（不重复 publish；投影层 is_resolved 兜底保留） | `chat/chatlayer/service.rs` |

133### 未改动项（待前端确认，设计问题）

134- #16 XSS 转义策略（HTML 实体转义 vs 纯文本渲染）——需确认客户端渲染方式。

135- #17 NewMessage view 事件 body 为空串——客户端需回查消息体，属设计选择。

628 "totp",

2247name = "fixedbitset"

2248version = "0.5.7"

2249source = "registry+https://github.com/rust-lang/crates.io-index"

2250checksum = "1d674e81391d1e1ab681a28d99df07927c6d4aa5b027d7da16ba32d1d21ecd99"

2252[[package]]

2281version = "0.1.5"

2282source = "registry+https://github.com/rust-lang/crates.io-index"

2283checksum = "d9c4f5dac5e15c24eb999c26181a6ca40b39fe946cbe4c263c7209467bc83af2"

2285[[package]]

2286name = "foldhash"

3742version = "0.15.5"

3743source = "registry+https://github.com/rust-lang/crates.io-index"

3744checksum = "9229cfe53dfd69f0609a49f65461bd93001ea1ef889cd5529dd176593f5338a1"

3745dependencies = [

3746 "foldhash 0.1.5",

3747]

3749[[package]]

3750name = "hashbrown"

3757 "foldhash 0.2.0",

3768 "foldhash 0.2.0",

3964name = "hyper-timeout"

3965version = "0.5.2"

3966source = "registry+https://github.com/rust-lang/crates.io-index"

3967checksum = "2b90d566bffbce6a75bd8b09a05aa8c2cb1fabb6cb348f8840c9e4c90a0d83b0"

3968dependencies = [

3969 "hyper",

3970 "hyper-util",

3971 "pin-project-lite",

3972 "tokio",

3973 "tower-service",

3974]

3976[[package]]

4706 "aes-gcm",

4707 "async-trait",

4709 "base64 0.23.1",

4710 "bytes",

4711 "cache",

4712 "clap",

4713 "config 1.94.0",

4714 "db",

4715 "futures",

4716 "hex",

4717 "http",

4718 "llm",

4719 "metrics",

4720 "prost",

4721 "prost-types",

4722 "rand 0.10.2",

4723 "redis",

4724 "reqwest 0.13.4",

4725 "sea-orm",

4726 "secret",

4727 "serde",

4728 "serde_json",

4729 "serde_yaml",

4730 "sha2 0.10.9",

4731 "thiserror 2.0.19",

4732 "time",

4734 "tokio-stream",

4735 "tokio-util",

4736 "tonic",

4737 "tonic-health",

4738 "tonic-prost",

4739 "tonic-prost-build",

4740 "tracing",

4741 "tracing-subscriber",

4742 "uuid",

5009name = "multimap"

5010version = "0.10.1"

5011source = "registry+https://github.com/rust-lang/crates.io-index"

5012checksum = "1d87ecb2933e8aeadb3e3a02b828fed80a7528047e68b4f424523a0981a3a084"

5014[[package]]

5725name = "petgraph"

5726version = "0.8.3"

5727source = "registry+https://github.com/rust-lang/crates.io-index"

5728checksum = "8701b58ea97060d5e5b155d383a69952a60943f0e6dfe30b04c287beb0b27455"

5729dependencies = [

5730 "fixedbitset",

5731 "hashbrown 0.15.5",

5732 "indexmap",

5733]

5735[[package]]

5967name = "prettyplease"

5968version = "0.2.37"

5969source = "registry+https://github.com/rust-lang/crates.io-index"

5970checksum = "479ca8adacdd7ce8f1fb39ce9ecccbfe93a3f1344b3d0d97f20bc0196208f62b"

5971dependencies = [

5972 "proc-macro2",

5973 "syn 2.0.119",

5974]

5976[[package]]

6117name = "prost-build"

6118version = "0.14.4"

6119source = "registry+https://github.com/rust-lang/crates.io-index"

6120checksum = "03da047801ff44bb6a4d407d4860c05fd70bb81714e6b2f3812603d5b145b042"

6121dependencies = [

6122 "heck 0.5.0",

6123 "itertools 0.14.0",

6124 "log",

6125 "multimap",

6126 "petgraph",

6127 "prettyplease",

6128 "prost",

6129 "prost-types",

6130 "pulldown-cmark",

6131 "pulldown-cmark-to-cmark",

6132 "regex",

6133 "syn 2.0.119",

6134 "tempfile",

6135]

6137[[package]]

6151name = "prost-types"

6152version = "0.14.4"

6153source = "registry+https://github.com/rust-lang/crates.io-index"

6154checksum = "f94967dc7688f3054c7fac87473ffae4cc4c3904800e2d9f5b857246d8963b0a"

6155dependencies = [

6156 "prost",

6157]

6159[[package]]

6180name = "pulldown-cmark"

6181version = "0.13.4"

6182source = "registry+https://github.com/rust-lang/crates.io-index"

6183checksum = "e9f068eba8e7071c5f9511831b44f32c740d5adf574e990f946ddb53db2f314e"

6184dependencies = [

6185 "bitflags 2.13.1",

6186 "memchr",

6187 "unicase",

6188]

6190[[package]]

6191name = "pulldown-cmark-to-cmark"

6192version = "22.0.1"

6193source = "registry+https://github.com/rust-lang/crates.io-index"

6194checksum = "ab1ad36992cead65f02aa399a373a42730922f1525d988172634fdefdecb8a60"

6195dependencies = [

6196 "pulldown-cmark",

6197]

6199[[package]]

6973 "log",

7319name = "secret"

7320version = "1.94.0"

7321dependencies = [

7322 "aes-gcm",

7323 "base64 0.23.1",

7324 "hex",

7325 "rand 0.10.2",

7326 "serde",

7327 "serde_json",

7328 "sha2 0.10.9",

7329 "thiserror 2.0.19",

7330 "tracing",

7331]

7333[[package]]

7463name = "serde_yaml"

7464version = "0.9.34+deprecated"

7465source = "registry+https://github.com/rust-lang/crates.io-index"

7466checksum = "6a8b1a1a2ebf674015cc02edccce75287f1a0130d394307b36743c2f5d504b47"

7467dependencies = [

7468 "indexmap",

7469 "itoa",

7470 "ryu",

7471 "serde",

7472 "unsafe-libyaml",

7473]

7475[[package]]

8408 "tokio-util",

8488 "axum",

8491 "flate2",

8492 "h2",

8496 "hyper",

8497 "hyper-timeout",

8498 "hyper-util",

8501 "rustls-native-certs",

8502 "socket2",

8504 "tokio",

8505 "tokio-rustls",

8507 "tower",

8514name = "tonic-build"

8515version = "0.14.6"

8516source = "registry+https://github.com/rust-lang/crates.io-index"

8517checksum = "c68f61875ac5293cf72e6c8cf0158086428c82c37229e98c840878f1706b0322"

8518dependencies = [

8519 "prettyplease",

8520 "proc-macro2",

8521 "quote",

8522 "syn 2.0.119",

8523]

8525[[package]]

8526name = "tonic-health"

8527version = "0.14.6"

8528source = "registry+https://github.com/rust-lang/crates.io-index"

8529checksum = "fcfab99db777fba2802f0dfa861d1628d1ae916fb199d29819941f139ae85082"

8530dependencies = [

8531 "prost",

8532 "tokio",

8533 "tokio-stream",

8534 "tonic",

8535 "tonic-prost",

8536]

8538[[package]]

8550name = "tonic-prost-build"

8551version = "0.14.6"

8552source = "registry+https://github.com/rust-lang/crates.io-index"

8553checksum = "654e5643eff75d7f8c99197ce1440ed19a3474eada74c12bbac488b2cafdae27"

8554dependencies = [

8555 "prettyplease",

8556 "proc-macro2",

8557 "prost-build",

8558 "prost-types",

8559 "quote",

8560 "syn 2.0.119",

8561 "tempfile",

8562 "tonic-build",

8563]

8565[[package]]

8566name = "totp"

8567version = "1.94.0"

8568dependencies = [

8569 "aes-gcm",

8570 "base64 0.23.1",

8571 "hmac 0.12.1",

8572 "rand 0.10.2",

8573 "sha1 0.10.7",

8574 "sha2 0.10.9",

8575 "thiserror 2.0.19",

8576 "time",

8577]

8579[[package]]

8587 "indexmap",

8589 "slab",

8592 "tokio-util",

8753name = "unicase"

8754version = "2.9.0"

8755source = "registry+https://github.com/rust-lang/crates.io-index"

8756checksum = "dbc4bc3a9f746d862c45cb89d705aa10f187bb96c76001afab07a0d35ce60142"

8758[[package]]

8814name = "unsafe-libyaml"

8815version = "0.2.11"

8816source = "registry+https://github.com/rust-lang/crates.io-index"

8817checksum = "673aac59facbab8a9007c7f6108d11f63b603f7cabff99fabf650fea5c32b861"

8819[[package]]

8881 "totp",

38 "lib/secret",

85secret = { path = "lib/secret" }

112serde_yaml = "0.9"

150tonic = { version = "0.14.2", features = ["tls-ring", "tls-native-roots", "gzip"] }

151tonic-build = "0.14.2"

152tonic-health = "0.14.0"

153tonic-prost = "0.14.6"

154tonic-prost-build = "0.14.6"

155prost = "0.14.1"

156prost-types = "0.14.1"