From cdaa39d686d3c8c7e13f4bd4058514c090bb6a92 Mon Sep 17 00:00:00 2001 From: bujinyuan Date: Thu, 23 Apr 2026 16:34:13 +0800 Subject: [PATCH] =?UTF-8?q?fix(meeting):=20Task=2016=20=E4=BF=AE=E5=A4=8D?= =?UTF-8?q?=20code-reviewer=20=E5=AE=A1=E8=AE=A1=20P0=20=E5=9B=9B=E9=A1=B9?= =?UTF-8?q?=20+=20=E8=90=BD=E7=9B=98=E5=AE=A1=E6=9F=A5=E6=8A=A5=E5=91=8A?= MIME-Version: 1.0 Content-Type: text/plain; charset=UTF-8 Content-Transfer-Encoding: 8bit code-reviewer 子代理（docs/reviews/2026-04-23-phase2e-2-code-review.md）对 Phase 2e-2 整体做全栈审计，暴露 P0 × 4 / P1 × 8 / P2 × 8 / Nit × 11。本次先修 P0： - P0-1 / P0-2 媒体资源归属越权： 新增 assertOwnsResource(roomCode, userID, kind, id) helper，用 resourceTrackKey Redis Set SIsMember 校验 transport/producer/consumer 归属；统一接入 OnTransportConnect / OnProduceStart / OnConsumeStart / OnConsumeResume / OnProducerClose 五个信令入口， 一次封死同类横向越权漏洞（Redis 查询失败时 fail-closed，避免抖动开口子）。 新增 service.ErrResourceNotOwned 错误常量。 - P0-3 CreateRoom Router 失败吞错： 旧实现 mediaErr != nil 仅 logs.Warn 继续返回成功 → zombie 房间 + 入会必败 + 一人一会议名额被占。改为 fail-closed 补偿：LeaveRoom + MarkEnded(system_error) + 返回新 service.ErrMediaServiceUnavailable，controller.handleError 映射为 500。 - P0-4 会议密码明文走 URL： join.vue onNext 旧逻辑把密码拼 ?password=xxx，浏览器历史 / DevTools 留痕。 新增 meetingStore.draftJoinPayload 内存态草稿，join.vue 只跳转 ?mode=join&code=xxx，preview.vue onLoad 读取后立即 draftJoinPayload = null 清空， 邀请链接里的 password 参数一律忽略。 验证： - cd backend/go-service && go build ./... 通过 - cd frontend && npm run build:h5 通过 - 仅剩 1 个预先存在 unusedparams warning，与本次改动无关 P1 / P2 / Nit 清单保留在审查报告，按顺序继续处理。 Made-with: Cursor --- .../meeting/controller/meeting_controller.go | 3 + .../app/meeting/service/meeting_service.go | 27 ++- .../meeting/service/meeting_signal_service.go | 63 ++++-- .../2026-04-23-phase2e-2-code-review.md | 193 ++++++++++++++++++ frontend/src/pages/meeting/join.vue | 22 +- frontend/src/pages/meeting/preview.vue | 12 +- frontend/src/store/meeting.js | 10 + 7 files changed, 301 insertions(+), 29 deletions(-) create mode 100644 docs/reviews/2026-04-23-phase2e-2-code-review.md diff --git a/backend/go-service/app/meeting/controller/meeting_controller.go b/backend/go-service/app/meeting/controller/meeting_controller.go index b2d4887..a3e7d2c 100644 --- a/backend/go-service/app/meeting/controller/meeting_controller.go +++ b/backend/go-service/app/meeting/controller/meeting_controller.go @@ -49,6 +49,9 @@ func (ctl *MeetingController) handleError(c *gin.Context, err error, fallbackMsg utils.ResponseNotFound(c, err.Error()) case errors.Is(err, service.ErrNotMeetingHost): utils.ResponseForbidden(c, err.Error()) + case errors.Is(err, service.ErrMediaServiceUnavailable): + // P0-3：媒体服务不可用应作为 5xx 返回，让前端走"稍后重试"提示，而非按"用户输入错误"处理 + utils.ResponseError(c, err.Error()) case errors.Is(err, service.ErrMeetingEnded), errors.Is(err, service.ErrMeetingFull), errors.Is(err, service.ErrMeetingPasswordReq), diff --git a/backend/go-service/app/meeting/service/meeting_service.go b/backend/go-service/app/meeting/service/meeting_service.go index e1f217e..c4214dd 100644 --- a/backend/go-service/app/meeting/service/meeting_service.go +++ b/backend/go-service/app/meeting/service/meeting_service.go @@ -39,6 +39,12 @@ var ( ErrKickSelfForbidden = errors.New("不能踢出自己") ErrTransferToSelf = errors.New("不能将主持人转让给自己") ErrTransferTargetInvalid = errors.New("目标用户不在会议中") + // ErrResourceNotOwned 媒体资源归属校验失败：用户试图操作不属于自己的 transport/producer/consumer + // 发生场景：Web 端用户抓到他人 producerID 后调 meeting.producer.close、或跨用户挂 consumer 等横向越权尝试 + ErrResourceNotOwned = errors.New("媒体资源归属校验失败，禁止操作他人资源") + // ErrMediaServiceUnavailable 媒体服务当前不可用（Router 创建失败 / Node 宕机等） + // 用于 CreateRoom / JoinRoom 的补偿路径，将前台错误与"用户输入错误"区分开 + ErrMediaServiceUnavailable = errors.New("媒体服务暂时不可用，请稍后重试") ) // Redis key 前缀（设计文档 §5.4 - Redis 数据结构） @@ -272,11 +278,26 @@ func (s *MeetingService) CreateRoom(ctx context.Context, hostID int64, req *dto. } // Task 7 起 CreateRouter 对接真实 mediasoup；Task 8 起仅在会议首次创建时调一次（房间级资源） + // P0-3 修复（审计报告）： + // 旧版在 Router 创建失败时仅 `logs.Warn` 继续返回成功，导致 DB 存在 active 房间但 mediasoup 端无 Router， + // 所有入会者后续 transport.create 必失败；同时占用"一人一会议"名额，用户无法新建。 + // 现改为 fail-closed：Router 失败 → 补偿 LeaveRoom + MarkEnded(system_error) → 返回 ErrMediaServiceUnavailable 让前端提示重试。 routerID, mediaErr := s.mediaOrchestrator.CreateRouter(ctx, code) if mediaErr != nil { - logs.Warn(ctx, funcName, "mediasoup Router 创建失败", - zap.String("room_code", code), zap.Error(mediaErr)) - routerID = "" + logs.Warn(ctx, funcName, "mediasoup Router 创建失败，执行补偿回滚", + zap.String("room_code", code), zap.Int64("host_id", hostID), zap.Error(mediaErr)) + + if _, leaveErr := s.participantDAO.LeaveRoom(ctx, room.ID, hostID, constants.MeetingLeftReasonSelf); leaveErr != nil { + logs.Warn(ctx, funcName, "补偿阶段 LeaveRoom 失败（已记录，清理任务会兜底）", + zap.Int64("room_id", room.ID), zap.Int64("host_id", hostID), zap.Error(leaveErr)) + } + if _, markErr := s.roomDAO.MarkEnded(ctx, room.ID, constants.MeetingEndedReasonSystemError, time.Now()); markErr != nil { + logs.Warn(ctx, funcName, "补偿阶段 MarkEnded 失败（已记录，清理任务会兜底）", + zap.Int64("room_id", room.ID), zap.Error(markErr)) + } + + err = ErrMediaServiceUnavailable + return nil, nil, "", err } logs.Info(ctx, funcName, "会议创建成功", diff --git a/backend/go-service/app/meeting/service/meeting_signal_service.go b/backend/go-service/app/meeting/service/meeting_signal_service.go index 285a4cf..01fb84c 100644 --- a/backend/go-service/app/meeting/service/meeting_signal_service.go +++ b/backend/go-service/app/meeting/service/meeting_signal_service.go @@ -91,6 +91,35 @@ func (s *MeetingSignalService) untrackResource(ctx context.Context, roomCode str _ = s.redis.SRem(ctx, key, member).Err() } +// assertOwnsResource 校验指定资源（kind: transport/producer/consumer）是否由 userID 在该 roomCode 中创建 +// 背景：WS 信令入口原本只校验"用户是否在会议中"，但客户端上报的 transport_id / producer_id / consumer_id 完全可伪造， +// 造成任意成员可关闭他人 producer、把 consumer 挂到他人 recv transport 等横向越权（P0-1 / P0-2 审计） +// 判据：trackResource 记录的 Redis Set 是最权威的归属来源（kind:id 写入 / untrack 时移除） +// 返回： +// - nil：归属合法 +// - ErrResourceNotOwned：Set 里不存在该元素（越权尝试） +// - Redis 错误时同样返回 ErrResourceNotOwned 并记录 Warn，按"fail-closed"保守拒绝，避免服务抖动打开权限口子 +func (s *MeetingSignalService) assertOwnsResource(ctx context.Context, roomCode string, userID int64, kind, id string) error { + if id == "" { + return fmt.Errorf("%s_id 不能为空", kind) + } + key := resourceTrackKey(roomCode, userID) + member := kind + ":" + id + ok, err := s.redis.SIsMember(ctx, key, member).Result() + if err != nil { + logs.Warn(ctx, "service.meeting_signal_service.assertOwnsResource", "查询资源归属失败", + zap.String("key", key), zap.String("member", member), zap.Error(err)) + return ErrResourceNotOwned + } + if !ok { + logs.Warn(ctx, "service.meeting_signal_service.assertOwnsResource", "资源归属不匹配，拒绝越权操作", + zap.String("room_code", roomCode), zap.Int64("user_id", userID), + zap.String("kind", kind), zap.String("id", id)) + return ErrResourceNotOwned + } + return nil +} + // updateMemberState 将某用户的音视频开关状态持久化到 Redis Hash // 非 nil 的字段才写入；audio/video 任意一个 nil 都不碰它，避免误覆盖另一维状态 // 容错：任何一步失败仅 Warn 日志，不阻断业务流程（前端已发 state.changed 作为权威广播） @@ -477,12 +506,12 @@ type TransportConnectPayload struct { // OnTransportConnect 处理 meeting.transport.connect 事件 func (s *MeetingSignalService) OnTransportConnect(ctx context.Context, userID int64, payload *TransportConnectPayload) error { - if payload.TransportID == "" { - return fmt.Errorf("transport_id 不能为空") - } if _, err := s.loadRoomAndParticipant(ctx, payload.RoomCode, userID); err != nil { return err } + if err := s.assertOwnsResource(ctx, payload.RoomCode, userID, "transport", payload.TransportID); err != nil { + return err + } return s.mediaOrchestrator.ConnectTransport(ctx, payload.TransportID, payload.DtlsParameters) } @@ -505,13 +534,13 @@ func (s *MeetingSignalService) OnProduceStart(ctx context.Context, userID int64, if payload.Kind != "audio" && payload.Kind != "video" { return nil, fmt.Errorf("kind 非法，必须是 audio 或 video") } - if payload.TransportID == "" { - return nil, fmt.Errorf("transport_id 不能为空") - } room, err := s.loadRoomAndParticipant(ctx, payload.RoomCode, userID) if err != nil { return nil, err } + if err := s.assertOwnsResource(ctx, payload.RoomCode, userID, "transport", payload.TransportID); err != nil { + return nil, err + } producerID, err := s.mediaOrchestrator.CreateProducer(ctx, &CreateProducerReq{ RoomCode: payload.RoomCode, UserID: userID, @@ -543,13 +572,18 @@ type ConsumeStartPayload struct { } // OnConsumeStart 处理 meeting.consume.start 事件 +// P0-2 修复：新增 transport_id 归属校验，拒绝把 consumer 挂到他人的 recv transport +// （producer_id 归属天然不需要校验：消费他人 producer 正是订阅逻辑本身，Node 侧会验证 producer 是否存在） func (s *MeetingSignalService) OnConsumeStart(ctx context.Context, userID int64, payload *ConsumeStartPayload) (*ConsumerInfo, error) { - if payload.TransportID == "" || payload.ProducerID == "" { - return nil, fmt.Errorf("transport_id 与 producer_id 均不能为空") + if payload.ProducerID == "" { + return nil, fmt.Errorf("producer_id 不能为空") } if _, err := s.loadRoomAndParticipant(ctx, payload.RoomCode, userID); err != nil { return nil, err } + if err := s.assertOwnsResource(ctx, payload.RoomCode, userID, "transport", payload.TransportID); err != nil { + return nil, err + } info, err := s.mediaOrchestrator.CreateConsumer(ctx, &CreateConsumerReq{ RoomCode: payload.RoomCode, UserID: userID, @@ -576,12 +610,12 @@ type ConsumeResumePayload struct { // 权限：仅当 userID 是会议活跃成员且 consumerID 归属该用户时允许 // 幂等：Node 对已 active Consumer 再次 resume 不报错；Consumer 不存在则 ACK 返回友好错误 func (s *MeetingSignalService) OnConsumeResume(ctx context.Context, userID int64, payload *ConsumeResumePayload) error { - if payload.ConsumerID == "" { - return fmt.Errorf("consumer_id 不能为空") - } if _, err := s.loadRoomAndParticipant(ctx, payload.RoomCode, userID); err != nil { return err } + if err := s.assertOwnsResource(ctx, payload.RoomCode, userID, "consumer", payload.ConsumerID); err != nil { + return err + } if err := s.mediaOrchestrator.ResumeConsumer(ctx, payload.ConsumerID); err != nil { logs.Warn(ctx, "service.meeting_signal_service.OnConsumeResume", "恢复 Consumer 失败", zap.String("room_code", payload.RoomCode), @@ -601,14 +635,15 @@ type ProducerClosePayload struct { // OnProducerClose 处理 meeting.producer.close 事件 // 成功后广播给房间内其他成员（与 mediasoup 的 producerclose 级联动作平级） +// P0-1 修复：新增 producer 归属校验，拒绝一名参会人关闭他人的 producer（横向越权，审计 P0-1） func (s *MeetingSignalService) OnProducerClose(ctx context.Context, userID int64, payload *ProducerClosePayload) error { - if payload.ProducerID == "" { - return fmt.Errorf("producer_id 不能为空") - } room, err := s.loadRoomAndParticipant(ctx, payload.RoomCode, userID) if err != nil { return err } + if err := s.assertOwnsResource(ctx, payload.RoomCode, userID, "producer", payload.ProducerID); err != nil { + return err + } if err := s.mediaOrchestrator.CloseProducer(ctx, payload.ProducerID); err != nil { logs.Warn(ctx, "service.meeting_signal_service.OnProducerClose", "关闭 Producer 失败", zap.String("producer_id", payload.ProducerID), zap.Error(err)) diff --git a/docs/reviews/2026-04-23-phase2e-2-code-review.md b/docs/reviews/2026-04-23-phase2e-2-code-review.md new file mode 100644 index 0000000..8b376f6 --- /dev/null +++ b/docs/reviews/2026-04-23-phase2e-2-code-review.md @@ -0,0 +1,193 @@ +# Phase 2e-2 会议 MVP 代码审查报告 + +> 审查时间：2026-04-23 +> 审查范围：backend/go-service/app/meeting/** + media-server/src/** + frontend/src/store/meeting.js / utils/mediasoup-client.js / pages/meeting/** / components/meeting/** / services/websocket.js + Task 15 / 三轮媒体回归补丁 + deploy/docker-compose.dev.yml 与 scripts/deploy-public.sh +> 审查人：code-reviewer 子代理（第二轮，重写版本） +> 审查 commit：790996f（feature/phase2e-2-meeting-mvp） + +## 总体评价 + +Phase 2e-2 会议 MVP 的代码质量整体达到了"可交付 demo、内网试跑"的水平。设计文档 §6 规定的 12 个 REST 接口与 14 个 WS 事件均已实现，架构分层（controller → service → dao → model）总体清晰；`MeetingSignalService` 中的 `resourceTrackKey`、`memberStateKey` 采用 Redis Hash/Set 持久化信令状态，对 MVP 的"房间补推"语义覆盖完整；`HTTPMediaOrchestrator` 针对 Router 创建/关闭的幂等和重试处理（`sync.Map` 缓存 + 指数退避 `doCloseRequest`）值得作为未来同类中间件调用的范式；前端 `store/meeting.js` 三轮回归修复（精确匹配 `producerId`、入口 `_reset()`、REST 前置、in-flight Promise 锁）正确回应了竞态场景，思路正确无反复。 + +但本轮审查发现若干**必须在 Task 16 收尾前修复的 P0 问题**，集中在"信令层权限校验不足"和"房间创建失败降级策略错误"两类。其中 `OnProducerClose`、`OnConsumeStart` 均缺失资源归属校验，允许会议内任一成员关闭他人 producer 或把 consumer 挂到他人 recv transport 上，属于典型的横向越权；`CreateRoom` 在 mediasoup Router 创建失败时仅 `logs.Warn` 继续返回，造成后续信令全链路不可用但用户却看到"会议创建成功"的体验型阻断。此外架构分层上 `ListChatMessages` / `ListMyMeetings` 绕过 DAO 直查 `s.db`，与项目规范明确冲突。其他 P1/P2 主要围绕事务边界、后台 goroutine `context.Background()` 丢失 trace_id、以及前端几处已知的细小竞态。 + +**问题统计**：P0 × 4，P1 × 8，P2 × 8，Nit × 11。 + +## P0 阻塞性问题（必须在 Task 16 结束前修复） + +### P0-1 `OnProducerClose` 未校验 producer 归属，任何参会人可关闭他人 producer + +- **文件**：`backend/go-service/app/meeting/service/meeting_signal_service.go:604-625` +- **问题**：`OnProducerClose` 仅调用 `loadRoomAndParticipant` 校验发起者处于房间内，随后直接把 `payload.ProducerID` 透传给 `mediaOrchestrator.CloseProducer`。payload 中的 `producer_id` 完全由客户端决定，并且服务端**不查验**该 producer 是否由该 `userID` 所创建（`trackResource` 的 Redis Set 是现成的归属依据却未被使用）。 +- **影响**：会议内任意成员只需发送 `{ room_code, producer_id: <他人的 producerID> }` 即可静默关闭其他人的摄像头/麦克风，同时广播 `meeting.member.producer.new { closed: true }` 造成 UI 误导为受害者自行关流。由于 `payload.ProducerID` 可以从本用户收到的 `meeting.member.producer.new` 事件里原样抄来，攻击门槛为 0。 +- **建议修复**： + ```go + key := resourceTrackKey(payload.RoomCode, userID) + isOwner, _ := s.redis.SIsMember(ctx, key, "producer:"+payload.ProducerID).Result() + if !isOwner { + return ErrProducerNotOwned + } + ``` + +### P0-2 `OnConsumeStart` 未校验 transport_id 归属，可把 Consumer 挂到他人 recv transport + +- **文件**：`backend/go-service/app/meeting/service/meeting_signal_service.go:546-565` +- **问题**：同 P0-1 只确认用户在会议里，直接把客户端上报的 `transport_id` 透传给 `mediaOrchestrator.CreateConsumer`。media-server 虽检查 `direction === 'recv'`，但不做跨用户身份对比。 +- **影响**：用户 A 可以把 consume 请求挂到用户 B 的 recv transport 上，B 意外收到 A 想要的流（信息污染 / 流量放大），A 自己则表现为黑画面/无声。 +- **建议修复**：同 P0-1 模式，校验 `transport:` ∈ 本 userID 的 Set；可选让 media-server 在 `createConsumer` 对 transport `entry.userId` 做二次断言。 + +### P0-3 `CreateRoom` 在 mediasoup Router 创建失败时吞错继续返回成功 + +- **文件**：`backend/go-service/app/meeting/service/meeting_service.go:274-284` +- **问题**：`mediaErr` 仅 `logs.Warn`，`routerID=""` 情况下仍返回 `nil`。DB 写入房间成功但 Router 实际不存在，后续 `transport.create` 必失败；同时残留的"死房间"会占用 `FindActiveByUser` 的"一人一会议"名额。 +- **影响**：用户看到"会议创建成功"但所有人入会立刻失败；用户无法再创建新会议（因为旧房间还 active），必须等待清理任务或手工 DB 介入。 +- **建议修复**：`mediaErr != nil` 走致命路径——补偿调用 `leaveRoom` + `MarkEnded(system_error)`，返回 500/503 让前端提示用户重试；或把 `roomDAO.Create` + `participantDAO.JoinRoom` + `CreateRouter` 组成 saga 并在最后一步失败时回滚。 + +### P0-4 会议密码明文拼入 `uni.navigateTo` URL + +- **文件**：`frontend/src/pages/meeting/join.vue:101-108`、`frontend/src/pages/meeting/preview.vue:404-417` +- **问题**：`onNext` 拼接 `?mode=join&code=...&password=...` 作为路由 query 传递给 preview 页。uni-app H5 默认 Hash 路由不会把 query 发到服务器 referer，但**浏览器历史、浏览器扩展、开发者工具 Network 面板、地址栏截图**都会完整保留密码；与设计 §2.2.1 "邀请链接仅带 token 不带密码"的约定明显冲突；若未来切 History 路由立刻会以 referer 形式外泄。 +- **建议修复**：密码改走 `meetingStore.draftJoinPayload` 临时内存态或 `uni.setStorage` 一次性传递，preview 页读取后立即清空；严禁密码出现在路由 query 上。 + +## P1 重要问题（应该修复） + +### P1-1 主持人转让非原子：`participantDAO.TransferHost` 与 `roomDAO.UpdateHost` 分两事务 + +- **文件**：`backend/go-service/app/meeting/service/meeting_service.go:551-556` / `440-452` +- **问题**：`LeaveRoom` 中主持人离开触发自动转让与显式 `TransferHost` 接口均调用先 `participantDAO.TransferHost`（更新新旧参会人角色）再 `roomDAO.UpdateHost`（更新房间 `host_id`）。两步没有放在同一事务。 +- **影响**：第一步成功、第二步失败时 `meeting_participants.role=host` 与 `meeting_rooms.host_id` 不一致，`assertIsHost`（以 `room.HostID` 为准）判断错误 → 所有主持人操作 403，直至手工修复。 +- **建议修复**：在 `MeetingParticipantDAO.TransferHost` 内部同事务内完成 `UPDATE meeting_participants` + `UPDATE meeting_rooms.host_id = ?`，service 只调用一次。 + +### P1-2 `ListChatMessages` / `ListMyMeetings` 绕过 DAO 直查 GORM + +- **文件**：`backend/go-service/app/meeting/service/meeting_service.go:869-904`、`622-668` +- **问题**：直接 `s.db.WithContext(ctx).Model(&model.MeetingChat{})` / `&model.MeetingRoom{}`，违反项目硬性分层约定（controller → service → dao → model）；`MeetingChatDAO`、`MeetingRoomDAO` 都已存在且提供了基础 CRUD，但未被调用。 +- **影响**：不可维护，后续 schema 变更、索引优化、查询统计都散落在 service 里；单元测试难以 mock DAO。 +- **建议修复**：`MeetingChatDAO.ListByRoomBefore(ctx, roomID, beforeID, limit)`；`MeetingRoomDAO.ListByIDsFiltered(ctx, ids, status, role, sinceAt, limit)`。service 调用 DAO 即可。 + +### P1-3 `ListMyMeetings` fetchSize 过度拉取 + +- **文件**：`backend/go-service/app/meeting/service/meeting_service.go:630-635` +- **问题**：`fetchSize := (limit+1)*2*3`。`limit=50` 时一次拉 306 条 participant，再根据 participant 反查房间。这种"两轮过滤 N+1"逻辑的 N 放大系数为 6。 +- **影响**：`列表页每次请求都读几百行参会记录+几十次 room 查询。高并发时数据库压力陡升。 +- **建议修复**：DAO 一次 JOIN `meeting_participants` + `meeting_rooms`（按 status/role/sinceAt 过滤），`LIMIT limit+1` 判 `has_more`。 + +### P1-4 `EndRoom` 未使用行级锁 + 非事务 + +- **文件**：`backend/go-service/app/meeting/service/meeting_service.go:474-518` +- **问题**：`ListActiveByRoom` 快照 → `MarkEnded` → `LeaveAllActive` 无 `SELECT ... FOR UPDATE`，且三步非同事务。与并发 `JoinRoom` 交错时：A 端调 EndRoom 拿到快照 {u1,u2}；B 端 JoinRoom 此时插入 u3；A 端 MarkEnded + 广播 `{u1,u2}`；u3 成为幽灵参会者（进了 active 房间但从未收到 `meeting.room.ended` 广播）。 +- **影响**：幽灵成员需要等 `MeetingCleanupTask` 扫表（心跳超时）或被动断连才清理，期间前端状态错乱。 +- **建议修复**：整段放入 `tx := s.db.Begin()`，首步 `SELECT * FROM meeting_rooms WHERE id=? FOR UPDATE`，广播在事务提交后做。 + +### P1-5 后台 goroutine 一律 `context.Background()` 丢失 trace_id + +- **文件**（示例）：`meeting_service.go:390-396 / 446-451 / 460-465 / 558-563 / 607-611 / 853-861`、`meeting_signal_service.go:192 / 439 / 527-532 / 618-623`、`ws/handler.go:142` +- **问题**：所有 `go func` 都用 `context.Background()` 重起 ctx，丢掉原请求的 trace_id / user_id / deadline。 +- **影响**：生产排障时日志无法根据 trace_id 关联"REST 接口 → 广播 → 资源清理"链路；同时无 deadline 的后台任务在 DB/Redis 卡住时会堆积。 +- **建议修复**：引入 `logs.DetachContext(ctx)`（保留 trace_id / user_id 等 K/V 但不含 cancel 信号）+ `WithTimeout`： + ```go + bgCtx, cancel := context.WithTimeout(logs.DetachContext(ctx), 5*time.Second) + defer cancel() + go s.broadcastToActiveParticipants(bgCtx, ...) + ``` + +### P1-6 `_broadcastSelfState` / `resumeConsumer` 前端吞错，无补偿 + +- **文件**：`frontend/src/store/meeting.js`（`_broadcastSelfState`）、`frontend/src/utils/mediasoup-client.js`（`resumeConsumer`） +- **问题**：`_broadcastSelfState` 走 `wsService.send`（非 ACK），失败只 `console.warn`，`member_state` Hash 不更新；`resumeConsumer` 服务端失败后 client 仍本地 `consumer.resume()`。 +- **影响**：WS 抖动期间"成员面板图标灰色"回归问题会重现；远端仍 paused 时前端看到黑画面/无声但无感知。 +- **建议修复**：`_broadcastSelfState` 改 `sendWithAck` + 2 次重试；`resumeConsumer` 失败后 `closeConsumer` + 重新 `consume` 重建链路。 + +### P1-7 `HandleHostGraceExpired` Redis TTL 自然过期盲区 + +- **文件**：`backend/go-service/app/meeting/service/meeting_lifecycle_service.go` +- **问题**：入参 `grace_until` 转 TTL 为 `grace_until - now + ttlBuffer`，同时写入 Redis；本地 `AfterFunc` 漂移或节点重启时依赖 `ScanExpired` 兜底。但如果 Redis 先到期删除了 key，`ScanExpired` 扫不到 → 本地 AfterFunc 到点后 `DEL` 返回 0 被跳过，主持人宽限转让丢失。 +- **影响**：主持人断线后 90s 宽限期可能不触发自动转让，房间陷入"无主"直到 TTL 清理任务启动。 +- **建议修复**：Lua 脚本原子 CAS `GET+DEL`；或引入 `grace_lock:` NX key + 单独的到期哨兵。 + +### P1-8 REST `member.joined` 与 WS `pushExistingRoomState` 异步顺序不确定 + +- **文件**：`backend/go-service/app/meeting/service/meeting_signal_service.go:171-326` +- **问题**：`OnRoomJoin` 内 `go s.pushExistingRoomState(...)` 与 `meeting_service.JoinRoom` 内 `go s.broadcastToActiveParticipants(...)` 互相并行；`member.joined` 到达新入者时，REST 侧生成的"别人已有状态"与 WS 侧 `pushExistingMemberStates` 可能交织——极端情况下新人先收到 "未知 user_id 的 state.changed"，然后 REST 补 participant。 +- **影响**：`_onMemberStateChanged` 的 placeholder 兜底尚能接住，但会造成头像/昵称短暂缺失；以及 `activeParticipants` 计数瞬时抖动。 +- **建议修复**：`pushExistingRoomState` 在 `OnRoomJoin` 返回前同步完成（前端本来就等 `room.join` 的 ACK），消除并行窗口。 + +## P2 一般问题（建议修复） + +- **P2-1** `cleanupUserResources`（`meeting_signal_service.go:631-671`）未处理 `transport:` 条目，依赖 Router 级联；用户短暂抖动重连场景会留下 1~数秒 orphan transport。 +- **P2-2** `preview.vue.startPreview`（`preview.vue:188-223, 307-326`）快速切换摄像头竞态：多次调用叠加，后发起的 track 可能被先起的 `srcObject=` 覆盖。建议 promise lock + 切换防抖。 +- **P2-3** `room.vue.onLoad`（`room.vue:568-574`）`redirectTo` 后缺 `return`，`onMounted` 仍会跑一遍即使跳转中；极短时间闪默认 UI。 +- **P2-4** WS token 经 URL query 下发（`ws/handler.go:99` + `websocket.js:78`），反向代理/ingress 日志默认记录 query；建议迁移到 `Sec-WebSocket-Protocol` 或 cookie。 +- **P2-5** `MeetingChatService` 并未独立文件，而是嵌在 `meeting_service.go:821-904`；与设计 §5.2 "分服务职责"偏差，可随 P1-2 拆分。 +- **P2-6** `generateUniqueRoomCode`（`meeting_service.go`）无重试上限和监控，碰撞率极小但极端场景下可能死循环。 +- **P2-7** `SendChatMessage`（`meeting_service.go:824-866`）缺服务端长度/频率限制，仅前端校验；滥用风险。 +- **P2-8** 前端 `MEETING_ENDED_REASON_LABEL`（`constants/meeting.js:53-58`）与 `room.vue:584-588` optional chaining 的覆盖度复核：新增 `system_error` reason 时两处都要改。 + +## Minor / Nit + +- `meeting_signal_service.go:640-652 / 236-241` `kind:id` 解析用 `strings.SplitN` / `IndexByte` 替代当前 `Split`。 +- `meeting_service.go` 多处时间字段 `Format("2006-01-02 15:04:05")` 与 RFC3339 混用，统一 RFC3339 便于前端解析。 +- `meeting_signal_service.go:73` `resourceTTL` 硬编码，应中央化到 `constants/meeting.go`。 +- `ws/handler.go:50-52` `CheckOrigin` 固定返回 true 附 TODO，公网上线前必须收敛（按照白名单 origin）。 +- `http_media_orchestrator.go` `doRequest` 超时 5s 对 CreateRouter 偏紧，生产建议 10s + 重试。 +- `deploy/docker-compose.dev.yml:107-108` 200 个 UDP+TCP 端口范围全量暴露，生产需按实际租户规模收敛并同步 `MEDIASOUP_RTC_MAX_PORT`。 +- `scripts/deploy-public.sh:86-91` `REDIS_PASSWORD=""` 放行提示与 `redis.conf requirepass` 联动校验缺失。 +- `media-server/src/middlewares/internal-auth.ts:17-19` `isPrivatePath` 未兼容 `request.url` 含 query string，建议 `request.routerPath`。 +- `media-server/src/services/consumer.service.ts:7-9 / 41` producer.appData 资格校验注释留给 Phase 2e-3，与 P0-2 联动。 +- `frontend/src/utils/mediasoup-client.js` in-flight 锁 reject 分支未显式把 Promise 置空（reject 后仍指向已解决的 Promise，下次调用直接 throw）。 +- `frontend/src/store/meeting.js` `_onMemberLeft` vs `_cleanupRemoteProducer` 清理粒度一致性复核（非回归，但代码走读时容易混淆）。 + +## 亮点 + +- **Redis Hash `member_state` + 异步补推**（`pushExistingMemberStates`）：对 SFU "后入者错过历史事件"的典型难题是教科书式解法，用最低成本的持久化解决了事件回放需求。 +- **`HTTPMediaOrchestrator` `sync.Map` + `LoadOrStore`** 并发防护 + Close 半段 404 归一化幂等：是 "上游有状态、下游无状态"跨进程编排的范式。 +- **前端 `ensureSendTransport/ensureRecvTransport` in-flight Promise 锁**：是对 mediasoup-client 延迟加载竞态的最小代价修复，思路干净。 +- **`MeetingCleanupTask` 背景兜底 + local timer 双保险**：典型"分布式状态必须有兜底扫表"的成熟思路。 +- **`leave-btn::after { content: none }`**：展现了团队对 uni-app H5 历史坑的深度理解，注释清晰（知其然且知其所以然）。 +- **`_broadcastSelfState` + `pushExistingMemberStates` + `_onMemberStateChanged` 占位条目**三管齐下，把"成员面板图标灰色"问题彻底闭环，可作为未来类似"端到端同步"的参考。 + +## 审查外遗留建议 + +1. `OnConsumeStart` / `OnProducerClose` / `pushExistingRoomState` 单测覆盖（目前 0 单测，依赖 Playwright 端到端）。 +2. `resolveUserDisplay` 的 N+1 查询批量化（当前每个 participant 逐个查 user）。 +3. WS 多实例广播需 Redis Pub/Sub 中转（设计 §7.4 已列但未实现）。 +4. mediasoup Worker 故障演练：真实 crash 一个 Worker 后 Router 迁移路径是否可用。 +5. TURN ephemeral credentials（REST API），目前 `deploy/.env.public.example` 是 static credential。 +6. 密码哈希 bcrypt cost 审计（user 表沿用历史，未重审）。 +7. `NetworkBadge` 接入 `RTCPeerConnection.getStats` 真实质量数据（目前是占位值）。 + +## 附录：已核实问题一览表 + +| 级别 | 模块 | 文件 | 行号 | 问题概括 | +|---|---|---|---|---| +| P0 | go-service/signal | `meeting_signal_service.go` | 604-625 | `OnProducerClose` 未校验 producer 归属 | +| P0 | go-service/signal | `meeting_signal_service.go` | 546-565 | `OnConsumeStart` 未校验 transport_id 归属 | +| P0 | go-service/service | `meeting_service.go` | 274-284 | `CreateRoom` Router 失败吞错继续 | +| P0 | frontend/pages | `join.vue` + `preview.vue` | 101-108 / 404-417 | 会议密码明文拼 URL | +| P1 | go-service/service | `meeting_service.go` | 440-452 / 551-556 | 主持人转让非原子两事务 | +| P1 | go-service/service | `meeting_service.go` | 869-904 / 622-668 | `ListChatMessages/ListMyMeetings` 绕 DAO | +| P1 | go-service/service | `meeting_service.go` | 630-635 | `ListMyMeetings` fetchSize 过度拉取 | +| P1 | go-service/service | `meeting_service.go` | 474-518 | `EndRoom` 缺行锁存在幽灵参会者窗口 | +| P1 | 多处 | - | - | 后台 goroutine 用 `context.Background()` 丢 trace_id | +| P1 | frontend | `meeting.js` + `mediasoup-client.js` | - | `_broadcastSelfState/resumeConsumer` 吞错 | +| P1 | go-service/lifecycle | `meeting_lifecycle_service.go` | `HandleHostGraceExpired` | Redis TTL 自然过期盲区 | +| P1 | go-service/signal | `meeting_signal_service.go` | 171-326 | REST 与 WS 广播顺序不确定 | +| P2 | go-service/signal | `meeting_signal_service.go` | 631-671 | `cleanupUserResources` 未处理 transport | +| P2 | frontend | `preview.vue` | 188-223 / 307-326 | 快速切设备竞态 | +| P2 | frontend | `room.vue` | 568-574 | 重定向后缺 return | +| P2 | infra | `ws/handler.go` + `websocket.js` | - | WS token 放 URL query | +| P2 | go-service/service | `meeting_service.go` | 821-904 | MeetingChatService 嵌入主 service | +| P2 | go-service/service | `meeting_service.go` | `generateUniqueRoomCode` | 重试上限缺失 | +| P2 | go-service/service | `meeting_service.go` | 824-866 | SendChatMessage 无服务端限流 | +| P2 | frontend | `constants/meeting.js` | 53-58 | ENDED_REASON_LABEL 覆盖复核 | +| Nit | go-service/signal | - | - | `kind:id` 解析改用 `strings.IndexByte` | +| Nit | go-service/service | - | - | 广播时间格式不统一 | +| Nit | go-service/signal | - | 73 | resourceTTL 未中央化 | +| Nit | go-service/ws | `ws/handler.go` | 50-52 | CheckOrigin 固定 true | +| Nit | go-service/media | `http_media_orchestrator.go` | - | doRequest timeout 5s 偏紧 | +| Nit | deploy | `docker-compose.dev.yml` | 107-108 | 200 端口全暴露 | +| Nit | deploy | `scripts/deploy-public.sh` | 86-91 | REDIS_PASSWORD 放行提示 | +| Nit | media-server | `internal-auth.ts` | 17-19 | isPrivatePath 未兼容 query string | +| Nit | media-server | `consumer.service.ts` | 7-9 / 41 | producer.appData 资格校验 TODO | +| Nit | frontend/media | `mediasoup-client.js` | - | in-flight 锁 reject 分支未清空 | +| Nit | frontend/store | `meeting.js` | - | `_onMemberLeft` vs `_cleanupRemoteProducer` 清理粒度 | diff --git a/frontend/src/pages/meeting/join.vue b/frontend/src/pages/meeting/join.vue index 6698982..0aa307b 100644 --- a/frontend/src/pages/meeting/join.vue +++ b/frontend/src/pages/meeting/join.vue @@ -1,15 +1,15 @@