|
906
|
22
|
125
|
1
|
|
0
|
1
|
|
0
|
0
|
1
|
1
|
0
|
|
0
|
1793871801
|
1793871806
|
1793871806
|
0
|
0
|
0
|
Edit
Delete
|
|
190
|
18
|
124
|
1
|
|
0
|
🔍 代码审查报告：pc-260519 - 需求 批量更新套餐价格 16243
|
## 自动代码审查报告
**分支**: pc-260519
**提交**: `d162814ffc ## 自动代码审查报告
**分支**: pc-260519
**提交**: `d162814ffceb49dcfa7babd91a890f20528d7c6f`
**提交人**: chenjunfeng (developer.jeff.c@gmail.com)
**时间**: 2026-05-19 14:07:57
---
## 1. 审查摘要
- **代码质量评分**：5.5 / 10 分
- **总体评价**：业务逻辑覆盖较全，具备基础的事务控制与参数校验意识。但存在**高危 SQL 注入漏洞**、**严重的 N+1 查询性能瓶颈**，且框架生命周期使用不规范（全局实例化超对象）。代码风格未遵循 PSR-12，异常处理与事务回滚机制存在冲突，整体可维护性与安全性亟待提升。
- **风险等级**：🔴 高
---
## 2. 问题详情
| 严重程度 | 文件/行号 | 问题描述 | 建议修改方案 | 代码示例 (可选) |
| :--- | :--- | :--- | :--- | :--- |
| 🔴 严重 | `mult_set_room_package_service_charge_rate` / `batch_update` | 直接使用字符串拼接用户输入参数构建 SQL 语句（如 `IN ({$goods_types})`、`_merchant_id=' . $merchant_id`），未使用预处理或查询构造器，存在极高 SQL 注入风险。 | 全面改用 CI 查询构造器（Query Builder）或 `$this->db->query($sql, $binds)` 绑定参数。 | `$this->db->where('info._merchant_id', $merchantId)->set('info._service_charge_rate', $serviceChargeRate)->update($this->table_name . ' info');` |
| 🔴 严重 | `get_package_price_list` (循环体内) | 在分页结果 `foreach` 循环中执行数据库查询（获取套餐商品及详情），导致典型的 **N+1 查询问题**。当列表数据量较大时，数据库连接与响应时间将呈指数级增长。 | 提取所有 `package_id`，使用 `WHERE IN` 批量查询，再通过 PHP 数组映射重组数据。 | 见下方重构示例 |
| 🔴 严重 | 文件顶部 (第6行) | `$CI = &get_instance();` 在类外部全局执行。每次 `require/include` 该模型文件都会实例化 CI 超对象，浪费内存且违反框架依赖注入/生命周期规范。 | 移除全局声明。在方法内部按需使用 `$this->load`，或通过基类提供的 `$this->ci` 访问。 | `// 删除文件顶部的 $CI = &get_instance();` |
| 🟠 警告 | `set_package_price` (约第28行) | `$this->load->model('');` 加载空字符串模型，会导致框架抛出警告或加载错误模型，属于明显笔误。 | 删除该行或补充正确的模型名称。 | `$this->load->model(''); // 直接删除` |
| 🟠 警告 | `update_with_link` (约第205行) | `$this->ahead_room_package_infos_model->update_v2(...)` 当前类即为该模型。通过未定义的属性调用自身不仅冗余，还可能触发 `Undefined property` 错误。 | 直接调用当前实例方法 `$this->update_v2()` 或基类更新方法。 | `$result = $this->update_v2($updateData, ['_shop_id' => $shop_id, '_link_id' => $link_id]);` |
| 🟠 警告 | `get_package_price_list` (约第105行) | 使用 `addslashes()` 处理 `LIKE` 查询参数。该函数无法防御所有 SQL 注入场景，且 CI 查询构造器已内置安全转义与字符集处理。 | 使用查询构造器的 `like()` 方法，或手动绑定参数。 | `$this->db->like('ahead_room_package._name', $params['package_name'], 'both');` |
| 🟠 警告 | 多处事务处理 (`set_package_price` 等) | 手动调用 `$this->db->trans_rollback()` 与 CI 的 `$this->db->trans_complete()` 自动回滚机制冲突。若 `trans_complete()` 在 `rollback()` 后执行，可能引发事务状态异常或重复回滚。 | 移除 `catch` 块中的手动 `trans_rollback()`，直接 `throw $e;` 交由 `trans_complete()` 统一处理。 | `catch (\Exception $e) { log_message('error', $e->getMessage()); throw $e; }` |
| 🟡 建议 | `get_price_set_detail` (约第220行) | 使用 `@json_decode()` 抑制 JSON 解析错误。若数据损坏，将静默失败，不利于生产环境排查与数据修复。 | 移除 `@`，使用 `json_last_error()` 校验，非法时记录日志并返回空数组。 | `$groups = json_decode($priceSetInfo['groups'], true); if (json_last_error() !== JSON_ERROR_NONE) { log_message('error', 'Invalid JSON...'); $groups = []; }` |
| 🟡 建议 | 全局/多处 | 大量使用魔法数字（如 `2145888000`, `-1`, `1`）和硬编码状态值，降低代码可读性与后期维护效率。 | 提取为类常量，统一状态管理。 | `const STATUS_DELETED = -1; const MAX_VALID_TIME = 2145888000; const BOOKING_OPEN = 1;` |
| 🟡 建议 | 类定义/数组语法 | 类名 `Ahead_room_package_infos_model` 不符合 PSR-12 PascalCase 规范；代码中混用 `array()` 与 `[]` 语法；注释与空行排版不一致。 | 重命名类为 `AheadRoomPackageInfosModel`；统一使用短数组语法 `[]`；遵循 PSR-12 缩进与空格规范。 | `class AheadRoomPackageInfosModel extends Simple_model` |
---
## 3. 总结与行动建议
### 🚨 优先修复的关键问题
1. **立即修复 SQL 注入漏洞**：`mult_set_room_package_service_charge_rate` 与 `batch_update` 中的原生 SQL 拼接必须替换为查询构造器或参数绑定。这是生产环境最高危的安全隐患。
2. **消除 N+1 查询性能瓶颈**：`get_package_price_list` 中的循环查库逻辑需重构为批量查询。建议先收集所有 `package_id`，一次性查出商品数据，再通过 `array_column` + `foreach` 进行内存映射。
3. **清理全局超对象实例化**：移除文件顶部的 `$CI = &get_instance();`，避免框架资源浪费与潜在的生命周期冲突。
### 🛠 后续重构与优化方向
1. **统一数据访问层规范**：
- 全面弃用 `addslashes` 与原生 SQL 拼接，强制使用 `$this->db->where()`, `$this->db->join()`, `$this->db->update()` 等 Query Builder 方法。
- 若必须使用原生 SQL，请严格采用 `$this->db->query($sql, $params_array)` 预处理模式。
2. **优化事务与异常处理**：
- 采用 CI 推荐的 `trans_begin()` / `trans_commit()` / `trans_rollback()` 显式控制，或依赖 `trans_start()` + `trans_complete()` 的自动回滚机制。避免在 `try/catch` 中手动回滚后继续执行 `trans_complete()`。
- 将 `throwError()` 替换为标准 `\Exception` 或框架统一的异常类，便于全局异常捕获与日志记录。
3. **代码规范与可维护性提升**：
- 遵循 PSR-12 规范重命名类、统一数组语法、提取魔法数字为常量。
- 将频繁加载的 Model/Helper 移至构造函数或基类中预加载，减少运行时开销。
- 为复杂业务逻辑（如跨天时间计算、团购套餐校验）补充单元测试，确保边界条件（如 `startTime == endTime`、非法 JSON、空数组）处理健壮。
> 💡 **框架适配说明**：基于代码特征（`$this->load->model()`, `$this->db->trans_start()`, `$CI = &get_instance()`），该代码高度遵循 **CodeIgniter 3** 架构规范。若 `phpci` 为内部定制分支，请核对事务自动回滚机制、模型加载缓存策略及全局辅助函数行为是否与 CI3 一致，必要时查阅 `phpci` 官方文档进行适配。
---
*此 Issue 由代码审查服务自动创建*...
|
0
|
0
|
0
|
0
|
0
|
|
0
|
1779170877
|
1779170877
|
0
|
0
|
0
|
0
|
Edit
Delete
|
|
390
|
21
|
124
|
1
|
|
0
|
🔍 代码审查报告：pay-260616 - 时段颜色支持配置
|
## 自动代码审查报告
**分支**: pay-260616
**提交**: `7b37ff6a7 ## 自动代码审查报告
**分支**: pay-260616
**提交**: `7b37ff6a72b5ecc79f3ff0c7fcdd014506db0e5e`
**提交人**: linyangrui (yangruilin888@gmail.com)
**时间**: 2026-05-27 17:34:55
---
## 📋 审查摘要
- **变更文件数**: 5
- **严重问题**: 2
- **高危问题**: 4
- **中危问题**: 3
- **建议优化**: 2
## 🐛 发现的问题
### <font color="red">[语法错误] data 对象中存在重复键名 operational_scene</font>
- **严重程度**: <font color="red">严重</font>
- **文件**: `web/Hi-Zan/Hi-Zan/pages/community-reserve/continue-packages/continue-packages.js`
- **行号**: 约 15 & 22
- **问题描述**: 在 `data` 初始化对象中，`operational_scene` 被声明了两次。虽然 JavaScript 引擎会以后声明的为准，但这属于明显的语法冗余，极易导致后续维护时数据覆盖或逻辑混乱。
- **修复建议**: 删除重复的键值对，保留一处即可。
```javascript
data: {
// ... 其他字段
operational_scene: '', // 仅保留一处
// ...
}
```
### <font color="red">[跨文件调用] 模型方法名拼写错误 (getRoomPackgeTimePriceInfo)</font>
- **严重程度**: <font color="red">高危</font>
- **文件**: `web/Hi-Zan/Hi-Zan/pages/community-reserve/shop-detail/shop-detail.js`
- **行号**: 约 1130
- **问题描述**: 调用 `reserveModel.getRoomPackgeTimePriceInfo(...)` 时，方法名中的 `Package` 被拼写为 `Packge`。若后端或模型层未做容错兼容，此处将直接抛出 `TypeError: reserveModel.getRoomPackgeTimePriceInfo is not a function`，导致价格规则弹窗无法打开。
- **修复建议**: 修正拼写错误，确保与模型定义的方法名完全一致。
```javascript
// 错误
reserveModel.getRoomPackgeTimePriceInfo(...)
// 正确
reserveModel.getRoomPackageTimePriceInfo(...)
```
### [逻辑 BUG] 未校验选中索引导致空指针异常
- **严重程度**: 高危
- **文件**: `continue-packages.js`, `direct-scan/package/package.js`, `table-tennis/package/package.js`
- **行号**: 各文件 `toPayPage` 方法内
- **问题描述**: 在跳转支付页时，直接访问 `this.data.package_list[this.data.packageIndex].id`。若用户未点击任何套餐/时长直接点击“下一步”，`packageIndex` 初始值为 `-1`，将导致 `Cannot read properties of undefined (reading 'id')` 崩溃。
- **修复建议**: 增加边界校验，未选中时拦截跳转或提示用户。
```javascript
if (this.data.packageIndex === -1) {
wx.showToast({ title: '请选择套餐', icon: 'none' });
return;
}
// 后续跳转逻辑...
```
### [逻辑 BUG] 异步请求失败未重置 loading 状态
- **严重程度**: 高危
- **文件**: `continue-packages.js` (`getPackageList`), `shop-detail.js` (`getRoomShowList`)
- **行号**: 约 45, 约 410
- **问题描述**: 调用模型方法前设置了 `loading: true`，但回调函数中仅处理了成功逻辑，未提供 `fail` 回调或 `finally` 逻辑来重置 `loading: false`。若网络异常或接口报错，页面将永久处于加载状态，用户无法操作。
- **修复建议**: 补充失败处理逻辑，确保 loading 状态必定被重置。
```javascript
packageModel.getTimePackageList(..., (res) => {
// success
this.setData({ loading: false, ... })
}, (err) => {
// fail
this.setData({ loading: false })
wx.showToast({ title: '加载失败', icon: 'none' })
})
```
### [逻辑 BUG] 直接修改上一页 options 对象不可靠
- **严重程度**: 高危
- **文件**: `shop-detail.js`
- **行号**: 约 1240
- **问题描述**: 在 `onUnload` 中通过 `prevPage.options.needRefresh = 'true'` 试图通知上一页刷新。微信小程序的 `options` 是页面加载时的快照，直接修改该对象通常**不会触发**上一页的 `onShow` 或数据更新，导致刷新逻辑失效。
- **修复建议**: 使用全局事件总线 `wx.$emit` / `getApp().globalData` 标记，或调用上一页暴露的刷新方法 `prevPage.refreshData()`。
### [代码质量] 直接修改 this.data 违反小程序数据流规范
- **严重程度**: 中危
- **文件**: `shop-detail.js`
- **行号**: 约 765 (`toggleRuleInfo`)
- **问题描述**: 使用 `this.data.coupons[index].openRule = !...` 直接修改了 `data` 中的数组元素。微信小程序要求数据变更必须通过 `setData` 驱动，直接修改会导致视图与数据不同步，且在复杂场景下可能引发渲染异常。
- **修复建议**: 使用 `setData` 更新指定路径或生成新数组。
```javascript
const key = `coupons[${index}].openRule`;
this.setData({ [key]: !this.data.coupons[index].openRule });
```
### [安全隐患] 路由参数拼接未进行 URL 编码
- **严重程度**: 中危
- **文件**: 多个文件 (`toPayPage`, `handleBookRoomClick` 等)
- **行号**: 多处 `wx.navigateTo` 调用
- **问题描述**: 使用字符串拼接构造 URL 参数，如 `'?shop_id=' + this.data.shop_id`。若业务数据中包含 `&`, `?`, `=` 或特殊字符，将破坏 URL 结构，导致参数解析错误或路由跳转失败。
- **修复建议**: 使用模板字符串配合 `encodeURIComponent`，或使用小程序官方推荐的参数传递方式。
```javascript
const params = new URLSearchParams({
shop_id: this.data.shop_id,
room_id: this.data.room_id
}).toString();
wx.navigateTo({ url: `/pages/...?${params}` });
```
### [代码质量] 魔法数字与硬编码状态值
- **严重程度**: 低危
- **文件**: 全局多处
- **行号**: 分散
- **问题描述**: 大量使用 `'1'`, `'-1'`, `'2'`, `'3'` 等字符串/数字表示业务状态（如 `status == '-1'`, `expire: '-1'`, `request_from: '1'`）。可读性差，后期维护极易混淆。
- **修复建议**: 在 `utils/constants.js` 中统一定义枚举常量，如 `const STATUS_DISABLED = '-1';`，并在代码中引用。
## ✅ 代码亮点
1. **动态 Tab 切换逻辑清晰**：`continue-packages.js` 和 `table-tennis/package/package.js` 中根据 `package_list` 和 `hour_list` 动态生成 `tab_list` 的逻辑处理得很完善，边界情况（全空、单有、双有）覆盖全面。
2. **Promise 封装合理**：`shop-detail.js` 中将回调风格的接口请求封装为 `Promise` 版本（`getTuangouCouponInfoPromise`），便于使用 `Promise.all` 进行并行请求优化，提升了首屏加载体验。
3. **防抖/节流意识**：`onPageScroll` 中使用了局部变量 `updateData` 收集变更，仅在数据真正变化时调用 `setData`，有效避免了高频滚动导致的性能损耗。
## 📝 总体建议
1. **统一跨文件引用规范**：当前项目混合了 `.js` 后缀导入（`import { config } from '../../../config.js'`）和无后缀导入。建议统一使用无后缀（小程序构建工具会自动解析），保持代码风格一致。
2. **强化错误边界处理**：所有涉及 `wx.request` 或模型调用的地方，必须补充 `fail` 回调。建议封装统一的请求拦截器，自动处理 `loading` 状态重置、全局错误提示及 Token 失效跳转。
3. **模型层方法名校验**：本次审查发现的 `getRoomPackgeTimePriceInfo` 拼写错误是典型的手误。建议在 IDE 中开启 TypeScript 或 JSDoc 类型检查，或在提交前运行 ESLint 静态扫描，提前拦截此类跨文件调用错误。
4. **状态管理优化**：随着业务复杂度增加，`shop-detail.js` 的 `data` 已非常庞大。建议将“弹窗状态”、“列表数据”、“用户信息”拆分到独立的 Store 或 Mixin 中，降低单文件维护成本。
---
*此 Issue 由代码审查服务自动创建*...
|
0
|
0
|
0
|
0
|
0
|
|
0
|
1779874495
|
1779874495
|
0
|
0
|
0
|
0
|
Edit
Delete
|
|
905
|
22
|
124
|
1
|
|
0
|
1
|
|
0
|
0
|
1
|
1
|
0
|
|
0
|
1793871786
|
1793871793
|
1793871793
|
0
|
0
|
0
|
Edit
Delete
|
|
189
|
18
|
123
|
1
|
|
0
|
🔍 代码审查报告：pc-260519 - 需求 批量更新套餐价格 16243
|
## 自动代码审查报告
**分支**: pc-260519
**提交**: `55de0793ef ## 自动代码审查报告
**分支**: pc-260519
**提交**: `55de0793ef7f1c5520e3c190f96c5d79af71b675`
**提交人**: chenjunfeng (developer.jeff.c@gmail.com)
**时间**: 2026-05-19 14:03:59
---
## 1. 审查摘要
- **代码质量评分**：4.5 / 10 分
- **总体评价**：该模型类承载了核心套餐价格设置与查询逻辑，业务覆盖较全，但存在多处严重的安全漏洞（SQL注入）、逻辑缺陷（权限过滤被覆盖）、性能瓶颈（N+1查询）及框架反模式（全局实例化、事务混用）。代码整体可维护性较低，需优先进行安全加固与架构规范化重构。
- **风险等级**：🔴 高
## 2. 问题详情
| 严重程度 | 文件/行号 | 问题描述 | 建议修改方案 | 代码示例 (可选) |
| :--- | :--- | :--- | :--- | :--- |
| 🔴 严重 | `mult_set_room_package_service_charge_rate` & `batch_update` | **SQL注入漏洞**：直接将 `$merchantId`、`$params['goods_type']`、`$shop_id` 等用户可控参数拼接到原生 SQL 中，未做任何转义或参数绑定。 | 废弃原生 SQL 拼接，全面改用 CI 查询构建器（Query Builder）或 `$this->db->query($sql, $bindings)` 参数绑定。 | `$this->db->set('_service_charge_rate', $serviceChargeRate)<br>->where('info._merchant_id', $merchantId)<br>->where('info._status', 1)<br>->update($this->table_name . ' info');` |
| 🔴 严重 | `get_package_price_list` 约第 130-145 行 | **权限过滤失效**：`$where['where_in']` 在权限校验时被赋值，随后在门店名称搜索逻辑中被**直接覆盖**。若同时满足两个条件，权限校验将完全失效，导致越权访问。 | 使用 `array_intersect` 合并权限门店ID与搜索门店ID，或构建独立的 `where_in` 数组条件。 | `$finalShopIds = !empty($permissionShopIds) ? array_intersect($permissionShopIds, $filterPermissionIds) : $filterPermissionIds;<br>$where['where_in'] = ['info._shop_id', $finalShopIds];` |
| 🔴 严重 | 文件顶部 (1-4行) | **框架反模式/资源浪费**：`$CI = &get_instance();` 在类外部执行，每次 `load->model()` 都会触发一次全局实例化，且 `$CI->load->model('Simple_model');` 属于冗余调用（继承关系已自动加载）。 | 移除文件顶部的全局实例化代码。在模型内部直接使用 `$this->load` 或 `$this->db`。 | `// 删除以下两行<br>$CI = &get_instance();<br>$CI->load->model('Simple_model');` |
| 🟠 警告 | `get_package_price_list` & `get_price_set_detail` | **N+1 查询性能瓶颈**：在 `foreach` 循环中逐条调用 `select()` 和 `get_list_for_search()` 获取关联商品与门店数据。分页为 20 时，将额外产生 40+ 次数据库查询。 | 提取所有 `package_id` 后批量查询，使用 `array_column` 在内存中映射组装，将 O(N) 查询降为 O(1)。 | `$packageIds = array_column($list['rows'], 'package_id');<br>$allGoods = $this->ahead_room_package_goods_model->select(['where_in' => ['_package_id', $packageIds]], $goodFields);<br>// 后续通过 $packageId 映射到对应行` |
| 🟠 警告 | `set_package_price` 约第 105-115 行 | **事务状态异常风险**：混用 `trans_start()`、手动 `trans_rollback()` 和 `trans_complete()`。在 CI 中，`trans_start()` 内部已开启事务，手动回滚后再次调用 `trans_complete()` 可能抛出 `Transaction already completed` 异常。 | 统一使用 `trans_begin()` / `trans_commit()` / `trans_rollback()` 显式控制，或完全依赖 `trans_start()` + `trans_complete()` 的自动提交/回滚机制。 | `try {<br> $this->db->trans_begin();<br> // ... 业务逻辑 ...<br> $this->db->trans_commit();<br>} catch (Exception $e) {<br> $this->db->trans_rollback();<br> return FALSE;<br>}` |
| 🟠 警告 | `set_package_price` 第 15 行 | **无效模型加载**：`$this->load->model('');` 传入空字符串，CI 会忽略或抛出 Warning，属于无效代码。 | 直接删除该行。若需加载其他模型，请明确指定名称。 | `// 删除 $this->load->model('');` |
| 🟡 建议 | 全局类定义 | **命名规范不符 PSR-12**：类名 `Ahead_room_package_infos_model` 使用下划线，不符合现代 PHP 规范。 | 建议重构为 `PascalCase`（如 `AheadRoomPackageInfosModel`）。若受历史框架限制，至少保持内部方法命名统一。 | `class AheadRoomPackageInfosModel extends Simple_model` |
| 🟡 建议 | `set_package_price` 约第 65-69 行 | **价格校验逻辑低效**：遍历整个 `$baseData` 数组并使用 `strpos` 匹配 `_price`，易误判非价格字段且性能不佳。 | 明确定义价格字段白名单进行校验，提升可读性与执行效率。 | `$priceFields = ['_price', '_actual_price', '_time_cost_price', '_vip_price'];<br>foreach ($priceFields as $field) {<br> if (isset($baseData[$field]) && $baseData[$field] < 0) throwError('...');<br>}` |
| 🟡 建议 | `update_with_link` | **隐式依赖与递归调用风险**：`$this->ahead_room_package_infos_model->update_v2()` 依赖外部动态加载的模型实例，且 `update_v2` 未在当前类定义，易导致 `Call to undefined method`。 | 明确调用 `$this->update()` 或 `$this->db->update()`，避免依赖未声明的动态属性。 | `// 替换为<br>$result = $this->db->where(['_shop_id' => $shop_id, '_link_id' => $link_id])<br> ->update($this->table_name, $updateData);` |
## 3. 总结与行动建议
### 🚨 优先修复的关键问题
1. **立即修复 SQL 注入**：`mult_set_room_package_service_charge_rate` 和 `batch_update` 中的原生 SQL 拼接必须替换为查询构建器或参数绑定。这是最高优先级的安全红线。
2. **修复权限越权漏洞**：`get_package_price_list` 中的 `$where['where_in']` 覆盖问题会导致数据隔离失效，必须使用 `array_intersect` 或独立条件合并逻辑。
3. **规范事务控制**：统一使用 `trans_begin()` / `trans_commit()` / `trans_rollback()` 显式事务流，避免框架自动机制与手动回滚冲突导致的数据不一致。
### 🛠 后续重构与优化方向
1. **消除 N+1 查询**：将 `get_package_price_list` 和 `get_price_set_detail` 中的循环查询重构为**批量预加载（Eager Loading）**模式。提取主键集合 → 一次性查询关联表 → 内存中 `key => value` 映射组装。预计可提升列表接口响应速度 60% 以上。
2. **清理框架反模式**：移除文件顶部的 `$CI = &get_instance();`，统一在模型内部使用 `$this->load`。检查并删除 `$this->load->model('');` 等无效调用。
3. **输入校验与类型安全**：当前代码大量依赖 `??` 默认值，缺乏对核心参数（如价格、时间、门店ID）的类型与范围校验。建议引入独立的 `Validator` 类或使用 CI 的 `Form_validation` 库在 Controller 层拦截非法请求。
4. **代码规范对齐**：逐步将类名、方法名向 PSR-12 靠拢。若 `phpci` 为内部定制框架，请确认其是否支持自动加载与命名空间，以便后续引入现代 PHP 特性（如类型声明、属性注入等）。
> 💡 **框架适配说明**：代码结构高度符合 **CodeIgniter 3** 规范。若 `phpci` 为基于 CI3 的二次开发框架，上述建议完全适用；若为独立架构，请重点核对事务驱动与查询构建器的底层实现差异。建议查阅 `phpci` 官方文档中关于 `Database Transactions` 与 `Query Builder` 的章节以确认最佳实践。
---
*此 Issue 由代码审查服务自动创建*...
|
0
|
0
|
0
|
0
|
0
|
|
0
|
1779170639
|
1779170639
|
0
|
0
|
0
|
0
|
Edit
Delete
|
|
389
|
21
|
123
|
1
|
|
0
|
🔍 代码审查报告：pay-260519 - 1
|
## 自动代码审查报告
**分支**: pay-260519
**提交**: `c7a32e000 ## 自动代码审查报告
**分支**: pay-260519
**提交**: `c7a32e000e05e6ca4796c60e39de52e8327a0bc5`
**提交人**: LITTLEMAIDI (11833999+littlemaidi@user.noreply.gitee.com)
**时间**: 2026-05-27 17:04:45
---
## 1. 审查摘要
- **代码质量评分**：5.5 / 10 分
- **总体评价**：该 Model 承载了大量核心业务逻辑，但存在明显的架构设计问题。代码中混合了数据查询、业务计算、状态流转与视图格式化，导致单一方法过长、职责不清。存在多处 N+1 查询、缺乏事务保护、硬编码魔法值及潜在 SQL 注入风险。整体可维护性与安全性亟待提升。
- **风险等级**：🔴 高
## 2. 问题详情
| 严重程度 | 文件/行号 | 问题描述 | 建议修改方案 | 代码示例 (可选) |
| :--- | :--- | :--- | :--- | :--- |
| 🔴 严重 | `get_bill_goods_info` (~L230) | **SQL 注入风险**：直接拼接 `$unique_key` 构建查询字符串 `'_unique_key="' . $unique_key . '" ...'`，若未严格过滤将导致注入。 | 使用框架查询构造器或参数绑定，杜绝字符串拼接。 | `$this->db->where('_unique_key', $unique_key)->where('_status', [1,4], 'OR')->get($this->table_name)->result_array();` |
| 🔴 严重 | `confirm_receipt` (~L185) | **缺乏数据库事务**：连续执行两次 `insert` 记录订单状态，若第二次失败会导致订单状态停留在“已确认收货”但未“完成”，数据不一致。 | 使用事务包裹连续写操作，失败时自动回滚。 | `$this->db->trans_start(); $this->insert($data1); $this->insert($data2); $this->db->trans_complete();` |
| 🔴 严重 | `close_room_after` (~L210) | **循环内 DB 操作且无事务**：在 `foreach` 中逐条 `update` 和 `insert`，性能极差且部分失败会导致脏数据。 | 改用批量操作 `update_batch()` / `insert_batch()`，并包裹事务。 | `$this->db->trans_start(); $this->update_batch(...); $this->insert_batch(...); $this->db->trans_complete();` |
| 🟠 警告 | `get_list` / `get_detail` | **N+1 查询问题**：在 `foreach` 循环内加载模型并执行 `get_one()`，订单量稍大时将引发严重性能瓶颈。 | 提前收集关联 ID，使用 `where_in` 批量查询，在 PHP 中映射关联数据。 | `$ids = array_column($order_info, 'package_id'); $res = $this->db->where_in('_id', $ids)->get(...)->result_array();` |
| 🟠 警告 | `encode_group_buying_order` | **弱加密算法**：使用 `md5()` 进行签名/校验，MD5 已不具备抗碰撞性，易被伪造。 | 改用 `hash_hmac('sha256', ...)` 或框架内置加密库。 | `return hash_hmac('sha256', $order_id, $this->encrypt);` |
| 🟠 警告 | `binding_order_check` | **隐式依赖/越权隐患**：使用未定义的 `$this->uid` 进行权限校验，若父类未正确初始化或遭篡改，将导致越权绑定。 | 将用户 ID 作为显式参数传入，或从 Session/Token 安全获取。 | `public function binding_order_check($order_id, $sign, $current_uid)` |
| 🟠 警告 | `get_detail` (~L115) | **框架调用异常**：在 Model 内部调用 `$this->ahead_yc_order_model->get_one()`，易引发递归加载或作用域混乱。 | 直接调用 `$this->get_one()` 或明确加载别名。 | `$before_order_info_data = $this->get_one(array('_id' => $order_info['before_order_id']));` |
| 🟡 建议 | `get_bill_goods_info` (~L235) | **调试代码残留**：存在 `if (1) {` 硬编码分支，影响代码整洁度与后续维护。 | 移除无用分支，保留真实业务逻辑。 | 直接删除 `if (1) {` 及对应闭合括号 |
| 🟡 建议 | 全局 | **命名规范不符 PSR-12**：类名含下划线 `Ahead_yc_order_model`，方法名混用驼峰与下划线（如 `bindingOrder` vs `get_list`）。 | 类名改为 `PascalCase`，方法统一 `camelCase`。 | `class AheadYcOrderModel extends Simple_model` |
| 🟡 建议 | 全局 | **模型重复加载**：多处方法内部频繁调用 `$this->load->model()`，增加框架开销。 | 移至 `__construct()` 统一加载，或配置自动加载。 | `public function __construct() { parent::__construct(); $this->load->model('ahead_room_package_model'); }` |
| 🟡 建议 | 全局 | **魔法值泛滥**：大量硬编码数字（如 `1, 2, 10, 14, 7*86400`）散落在逻辑中，可读性差。 | 提取为类常量，与现有 `const` 统一管理。 | `const SEVEN_DAYS_SECONDS = 604800;` |
> ⚠️ **局限性说明**：代码末尾 `get_timing_order` 方法被截断，无法评估其完整逻辑。若该方法包含复杂关联查询或状态计算，建议补充完整后二次审查。
## 3. 总结与行动建议
### 🔑 优先修复的关键问题
1. **修复 SQL 注入与事务缺失**：立即将 `get_bill_goods_info` 中的字符串拼接改为参数绑定/查询构造器；为 `confirm_receipt` 和 `close_room_after` 添加 `$this->db->trans_start()/trans_complete()` 事务保护。
2. **消除 N+1 查询**：重构 `get_list` 与 `get_detail`，将循环内的单条查询改为 `IN` 批量查询，预计可降低 70% 以上的数据库交互耗时。
3. **替换弱加密算法**：将 `encode_group_buying_order` 中的 `md5` 替换为 `hash_hmac('sha256', ...)`，防止团购核销签名被伪造。
### 🛠 后续重构与优化方向
1. **职责分离（SRP 原则）**：`get_bill_goods_info` 方法超过 300 行，混合了数据查询、金额计算、商品格式化、退款处理等逻辑。建议拆分为：
- `fetchBillOrders()`：负责数据查询
- `calculateBillTotals()`：负责金额聚合
- `formatBillGoods()`：负责视图层数据组装
2. **统一数据映射层**：当前类中同时存在 `public $pay_id_arr`（数组）与 `const ORDER_PAY_PLATFORM_ARR`（常量），功能重叠。建议废弃数组，统一使用 `const` 或配置类管理字典映射。
3. **框架适配规范**：
- 移除文件顶部的 `$CI = &get_instance();`，Model 中应直接使用 `$this` 访问 Loader。
- 若 `phpci` 为定制框架，请确认其底层是否支持 `trans_start()` 与 `where_in` 批量查询；若不支持，需替换为框架等效的事务与查询 API。
- 全局函数（如 `throwError()`, `minToStr()`, `send_wx_pay_order()`）建议封装至独立 Helper 或服务类中，避免破坏 OOP 封装性。
> 💡 **提示**：建议在 CI/CD 流程中接入 `PHP_CodeSniffer`（PSR-12 规则）与 `PHPStan`（静态分析），在合并前自动拦截命名不规范、未定义变量及潜在类型错误，从源头提升代码质量。
---
*此 Issue 由代码审查服务自动创建*...
|
0
|
0
|
0
|
0
|
0
|
|
0
|
1779872685
|
1779872685
|
0
|
0
|
0
|
0
|
Edit
Delete
|
|
898
|
22
|
123
|
1
|
|
0
|
1
|
|
0
|
0
|
1
|
1
|
0
|
|
0
|
1793864207
|
1793864212
|
1793864212
|
0
|
0
|
0
|
Edit
Delete
|
|
188
|
18
|
122
|
1
|
|
0
|
🔍 代码审查报告：pc-260519 - 需求 批量更新套餐价格 16243
|
## 自动代码审查报告
**分支**: pc-260519
**提交**: `bb1b3275a1 ## 自动代码审查报告
**分支**: pc-260519
**提交**: `bb1b3275a1a6ec5ed3d1994d4c5e3ff5114e3ff6`
**提交人**: chenjunfeng (developer.jeff.c@gmail.com)
**时间**: 2026-05-19 14:03:30
---
## 1. 审查摘要
- **代码质量评分**：5.5 / 10 分
- **总体评价**：代码实现了较为复杂的套餐价格设置与同步逻辑，业务覆盖较全。但存在多处高危 SQL 注入风险、严重的 N+1 查询性能瓶颈、事务控制不规范以及明显的逻辑缺陷（如循环内生成关联 ID、空模型加载）。整体代码偏向“过程式”堆砌，缺乏面向对象封装与防御性编程意识，需进行系统性重构。
- **风险等级**：🔴 高
## 2. 问题详情
| 严重程度 | 文件/行号 | 问题描述 | 建议修改方案 | 代码示例 (可选) |
| :--- | :--- | :--- | :--- | :--- |
| 🔴 严重 | `mult_set_room_package_service_charge_rate` (~L280)<br>`batch_update` (~L310) | **SQL 注入漏洞**：直接拼接 `$merchant_id`、`$params['goods_type']`、`$shop_id` 等用户可控参数至原生 SQL 语句，未进行任何转义或参数绑定。 | 废弃原生 SQL 拼接，全面改用框架查询构造器（Query Builder）或预处理语句。若必须用原生 SQL，需使用 `$this->db->escape()` 或绑定参数。 | `$this->db->set('_service_charge_rate', $serviceChargeRate)`<br>`->where('_merchant_id', $merchantId)`<br>`->where_in('_package_id', $ids)`<br>`->update($this->table_name);` |
| 🔴 严重 | `set_package_price` (~L15) | **致命错误**：`$this->load->model('');` 传入空字符串，框架解析时将抛出致命错误或加载失败。 | 删除该行无效代码。若需加载模型，应在方法内部按需加载或移至构造函数。 | 直接删除该行 |
| 🔴 严重 | `set_package_price` (~L85) | **数组越界/类型错误**：`$startTimeStr` 默认为 `0`（整型），直接 `explode(":", $startTimeStr)` 会导致 `Undefined offset` 或类型警告。 | 增加前置类型与格式校验，确保时间字符串符合 `H:i` 格式后再切割。 | `if (is_string($startTimeStr) && preg_match('/^\d{1,2}:\d{2}$/', $startTimeStr)) { ... }` |
| 🟠 警告 | `get_package_price_list` (~L180) | **N+1 查询性能瓶颈**：在 `foreach ($list['rows'] as &$row)` 循环内执行 `select()` 查询套餐明细与商品信息，数据量稍大时将导致数据库连接耗尽或响应超时。 | 提取所有 `package_id` 进行批量查询，在内存中通过 `array_column` 或 `key-value` 映射组装数据。 | `$ids = array_column($list['rows'], 'package_id');`<br>`$allGoods = $this->ahead_room_package_goods_model->where_in('_package_id', $ids)->get()->result_array();`<br>`// 后续使用 array 映射替代循环查询` |
| 🟠 警告 | `set_package_price` (~L125) | **关联标识失效**：`md5(... . time())` 放在 `foreach ($roomTypes as $roomType)` 循环内，每次迭代 `time()` 值不同，导致本应同步的 `_link_id` 不一致，破坏跨店同步逻辑。 | 将 `_link_id` 生成逻辑移至循环外部，确保同一批次数据共享同一关联标识。 | `$link_id = md5($merchantId . $params['shop_id'] . $roomType . time());`<br>`foreach ($roomTypes as $roomType) { $baseData['_link_id'] = $link_id; ... }` |
| 🟠 警告 | `set_package_price` / `update_with_link` | **事务控制冲突**：混用 `trans_start()`、手动 `trans_rollback()` 与 `try-catch`。CI 风格框架的 `trans_complete()` 本身具备自动回滚机制，手动回滚可能引发“事务已回滚”警告或状态不一致。 | 采用 `trans_begin()` + `trans_commit()` + `trans_rollback()` 显式控制，或移除 `try-catch` 依赖 `trans_complete()` 的严格模式（`$this->db->trans_strict(TRUE)`）。 | `$this->db->trans_begin();`<br>`// 业务逻辑`<br>`if ($this->db->trans_status() === FALSE) { $this->db->trans_rollback(); return FALSE; }`<br>`$this->db->trans_commit();` |
| 🟡 建议 | 全局 / 类定义 | **PSR-12 规范不符**：类名使用下划线命名（`Ahead_room_package_infos_model`），常量未声明可见性，文件顶部直接执行 `$CI->load->model()`。 | 类名改为大驼峰 `AheadRoomPackageInfosModel`；常量加 `public` 修饰符；移除文件级全局加载，改用 `__construct()` 或懒加载。 | `class AheadRoomPackageInfosModel extends Simple_model { public const PACKAGE_TYPE_MAP = [...]; }` |
| 🟡 建议 | `get_price_set_detail` (~L235) | **错误抑制滥用**：`@json_decode($priceSetInfo['groups'], true)` 使用 `@` 掩盖解析错误，不利于排查脏数据问题。 | 移除 `@`，增加 `json_last_error()` 校验或提供默认空数组。 | `$groups = json_decode($priceSetInfo['groups'], true);`<br>`if (json_last_error() !== JSON_ERROR_NONE) { $groups = []; }` |
| 🟡 建议 | `get_package_price_list` (~L135) | **冗余转义**：`addslashes($params['package_name'])` 在 CI 查询构造器中属于多余操作，框架会自动处理转义，双重转义可能导致查询结果异常。 | 直接传入原始值，交由框架底层处理。 | `$where['ahead_room_package._name LIKE '] = '%' . $params['package_name'] . '%';` |
> **框架适配说明**：代码中大量使用 `get_instance()`、`$this->load->model()`、`$this->db->trans_*()` 等语法，高度契合 **CodeIgniter 3** 架构。若 `phpci` 为基于 CI 二次开发的定制框架，上述事务与查询构造器建议依然适用；若为全新架构，请核对底层 `insert_batch` 行数限制及 `trans_*` 生命周期是否与 CI 一致。
## 3. 总结与行动建议
### 🚨 优先修复项（P0）
1. **修复 SQL 注入**：立即重构 `mult_set_room_package_service_charge_rate` 与 `batch_update` 方法，彻底移除字符串拼接 SQL，改用框架提供的 Query Builder 或参数绑定机制。
2. **消除致命错误**：删除 `$this->load->model('');`，修复 `explode` 处理非字符串时间导致的越界问题。
3. **修正同步逻辑缺陷**：将 `_link_id` 的 `md5` 生成移出循环，确保跨店套餐数据能正确关联。
### 🛠 后续重构与优化方向
1. **性能架构升级**：
- 将 `get_package_price_list` 中的循环查询改为 **批量预加载（Eager Loading）**。可封装一个 `getPackageDetailsByPackageIds(array $ids)` 方法，一次性拉取所有关联商品与门店信息，在 PHP 层进行 `O(1)` 映射。
- 对 `insert_batch` 增加分块处理（如 `array_chunk($addData, 500)`），防止单次 SQL 体积过大触发数据库 `max_allowed_packet` 限制。
2. **代码规范与可维护性**：
- 统一错误处理机制：废弃全局 `throwError()`，改用 `throw new \InvalidArgumentException()` 或自定义业务异常类，便于上层统一捕获与日志记录。
- 遵循 PSR-12：重命名类文件，规范常量可见性，移除文件级副作用代码（如顶部 `$CI->load->model()`）。
3. **业务逻辑健壮性**：
- 时间处理建议引入 `DateTime` 或 `Carbon` 库，替代脆弱的字符串切割与 `+24*3600` 硬编码，避免跨月/跨年边界计算错误。
- 对 `json_decode`、`floatval` 等类型转换增加严格校验，防止脏数据污染数据库。
> **局限性提示**：本次审查仅基于提供的单文件代码。若 `Simple_model` 基类或 `common` 助手函数中存在隐式过滤/事务封装，部分安全与性能结论可能需结合基类实现微调。建议补充基类代码以便进行全链路审查。
---
*此 Issue 由代码审查服务自动创建*...
|
0
|
0
|
0
|
0
|
0
|
|
0
|
1779170610
|
1779170610
|
0
|
0
|
0
|
0
|
Edit
Delete
|
|
388
|
21
|
122
|
1
|
|
0
|
🔍 代码审查报告：pay-260616 - Merge remote-tracking branch 🔍 代码审查报告：pay-260616 - Merge remote-tracking branch 'pay/pay' into pay-26...
|
## 自动代码审查报告
**分支**: pay-260616
**提交**: `581408806 ## 自动代码审查报告
**分支**: pay-260616
**提交**: `5814088060ab2d3bcdf60c880197ade12addb282`
**提交人**: zhangjunnan (121158035@qq.com)
**时间**: 2026-05-27 16:50:07
---
## 1. 审查摘要
- **代码质量评分**：5.5 / 10
- **总体评价**：代码实现了较为复杂的 KTV 微信端业务逻辑，但存在明显的架构臃肿、安全隐患及现代 PHP 兼容性问题。控制器职责过重，Helper 中存在硬编码密钥与已废弃函数，整体未严格遵循 PSR-12 与 MVC 分层规范。
- **风险等级**：🔴 高
> 📌 **框架说明**：根据目录结构（`system/`, `application/`）、核心语法（`$this->load->`, `defined('BASEPATH')`, `&get_instance()`）判断，该代码实为 **CodeIgniter 3 (CI3)** 架构，而非 `phpci`（phpci 为 CI 工具）。以下审查基于 CI3 最佳实践与现代 PHP 规范进行。
## 2. 问题详情
| 严重程度 | 文件/行号 | 问题描述 | 建议修改方案 | 代码示例 (可选) |
| :--- | :--- | :--- | :--- | :--- |
| 🔴 严重 | `common_helper.php` ~L150 | **硬编码云存储凭证**：`alioss_addObject` 中直接写死 `accessId` 与 `accessKey`，极易导致 OSS 数据泄露、恶意盗刷或越权访问。 | 将敏感凭证移至 `application/config/config.php` 或服务器环境变量，通过 CI 配置读取。 | `'accessKey' => $CI->config->item('oss_access_key')`<br>`'accessId' => $CI->config->item('oss_access_id')` |
| 🔴 严重 | `common_helper.php` ~L280 | **废弃函数导致 Fatal Error**：`decodeUnicode` 使用 `create_function`，该函数在 PHP 7.2 已废弃，PHP 8.0+ 已彻底移除，升级环境将直接崩溃。 | 替换为现代匿名函数（闭包）。 | `return preg_replace_callback('/\\\\u([0-9a-f]{4})/i', function($matches) { return mb_convert_encoding(pack("H*", $matches[1]), "UTF-8", "UCS-2BE"); }, $str);` |
| 🔴 严重 | `WxCustomer.php` `index()`/`scanToShopping()` | **超全局变量污染与 Open Redirect**：直接赋值 `$_GET['broadcast_control'] = ...` 修改全局状态，且未过滤直接 `http_build_query($_GET)` 拼接跳转 URL，存在重定向劫持与 XSS 风险。 | 严格使用 `$this->input->get()` 获取参数，对跳转目标进行白名单校验或 `filter_var()` 过滤。 | `$safe_params = $this->input->get(['broadcast_control','subscribe'], TRUE);`<br>`$redirect_url = base_url('path') . '?' . http_build_query($safe_params);` |
| 🟠 警告 | `WxCustomer.php` `index()` | **控制器职责过重**：单方法超 150 行，包含大量顺序 DB 查询、状态校验、日志记录与重定向，严重违反单一职责原则 (SRP)，难以单元测试与后续维护。 | 将业务逻辑抽离至独立 `Service` 类（如 `RoomJoinService`），控制器仅负责路由分发与响应。 | `$roomService = new RoomJoinService($this->uid, $family_server_id);`<br>`$result = $roomService->handleJoin();`<br>`if ($result['redirect']) redirect($result['url']);` |
| 🟠 警告 | `common_helper.php` `get_printer()` | **潜在 SQL 注入**：SQL 条件使用字符串拼接 `'_shop_id= ' . $shop_id`，若 `$shop_id` 未强制类型转换或来自用户输入，将绕过 Query Builder 防护。 | 使用 CI3 Query Builder 链式调用，或强制 `(int)` 转换。 | `$this->db->where('_shop_id', (int)$shop_id)->where('FIND_IN_SET(...)');` |
| 🟠 警告 | `WxCustomer.php` 多处 | **魔法数字泛滥**：`type == 1, 2, 3, 4` 等硬编码散落在业务逻辑中，可读性差且易引发逻辑错位。 | 在类顶部定义语义化常量，或使用 PHP 8.1+ `enum`。 | `const TYPE_GOODS = 1; const TYPE_ROOM = 2;`<br>`if ($type === self::TYPE_GOODS)` |
| 🟡 建议 | `common_helper.php` ~L110 | **函数名拼写不一致**：定义名为 `showErrorVies`，但全局调用为 `showErrorView`，若未在其他文件定义将触发 Fatal Error。 | 统一修正为 `showErrorView`，并清理冗余参数与注释代码。 | `function showErrorView($title_content = '', $error_msg = '', $type = 1)` |
| 🟡 建议 | `WxCustomer.php` / `Ahead_ai_book_model.php` | **重复加载模型**：在多个方法内部频繁调用 `$this->load->model()`，增加运行时开销且破坏代码整洁度。 | 移至 `__construct()` 统一加载，或配置 CI3 自动加载 `$autoload['model']`。 | `public function __construct() { parent::__construct(); $this->load->model(['model_a', 'model_b']); }` |
| 🟡 建议 | 全局文件 | **代码规范与死代码残留**：存在大量注释掉的 `var_dump/exit`、混合缩进（Tab/Space）、未使用的 `use` 或变量，不符合 PSR-12。 | 使用 `PHP-CS-Fixer` 自动化格式化，彻底清理调试代码与注释块。 | 配置 `.php-cs-fixer.dist.php` 并执行 `php-cs-fixer fix application/` |
> ⚠️ **局限性说明**：`Ahead_ai_book_model.php` 文件末尾被截断（`private function del_ai_book_info($uid) { $this->load`），无法完整评估该方法及后续逻辑。建议补充完整文件以便进行深度审查。
## 3. 总结与行动建议
### 🔑 优先修复的关键问题
1. **立即移除硬编码凭证**：将 `common_helper.php` 中的 OSS `AccessKey/Secret` 迁移至配置文件或 `.env`，并检查 Git 历史是否已泄露，必要时轮换密钥。
2. **修复 PHP 兼容性致命错误**：全局替换 `create_function` 为匿名函数，确保代码兼容 PHP 7.4/8.x。
3. **收敛超全局变量操作**：禁止直接修改 `$_GET`/`$_POST`，全面改用 CI3 的 `$this->input->get()` 并开启 XSS 过滤（`$config['global_xss_filtering'] = TRUE;`）。
### 🛠 后续重构与优化方向
1. **架构分层（Controller → Service → Model）**：
- `WxCustomer::index()` 等核心入口应仅保留参数校验、服务调用与视图/重定向分发。
- 将包厢校验、黑名单检查、二维码状态验证、用户信息更新等逻辑封装至 `RoomAuthService`、`UserConsumeService` 等独立类中。
2. **统一输入输出规范**：
- 所有外部参数必须经过类型约束与白名单过滤。
- 跳转 URL 必须经过 `filter_var($url, FILTER_VALIDATE_URL)` 或路由白名单校验，防止 Open Redirect。
3. **性能与缓存优化**：
- `Ahead_shop_config_model`、`Ahead_family_servers_model` 等高频读取的配置类数据，建议引入 Redis 缓存（如 `$this->cache->save()`），避免每次请求重复查库。
- 合并重复的 `get_one` 查询，使用 `select()` 明确指定字段，减少网络 IO。
4. **工程化规范落地**：
- 引入 `PHPStan` 或 `Psalm` 进行静态类型分析，提前捕获未定义变量、类型不匹配等问题。
- 配置 CI/CD 流水线（如 GitHub Actions / GitLab CI）集成 `PHP_CodeSniffer` 与 `PHPUnit`，阻断不规范代码合并。
如需针对特定模块（如支付回调、WebSocket 通信、AI 预订推荐算法）进行深度性能剖析或提供完整 Service 层重构示例，可提供对应完整代码片段。
---
*此 Issue 由代码审查服务自动创建*...
|
0
|
0
|
0
|
0
|
0
|
|
0
|
1779871807
|
1779871807
|
0
|
0
|
0
|
0
|
Edit
Delete
|
|
897
|
22
|
122
|
1
|
|
0
|
日志增加版本好
|
|
0
|
0
|
1
|
1
|
0
|
|
0
|
1793864188
|
1793864193
|
1793864193
|
0
|
0
|
0
|
Edit
Delete
|
|
187
|
18
|
121
|
1
|
|
0
|
🔍 代码审查报告：pc-260519 - 需求 批量更新套餐价格 16243
|
## 自动代码审查报告
**分支**: pc-260519
**提交**: `4c4d4d387a ## 自动代码审查报告
**分支**: pc-260519
**提交**: `4c4d4d387a9beb1ad406235e224c033609d0eaa0`
**提交人**: chenjunfeng (developer.jeff.c@gmail.com)
**时间**: 2026-05-19 13:47:10
---
## 1. 审查摘要
- **代码质量评分**：暂无法评分 (0-10 分)
- **总体评价**：由于 `## 变更文件内容` 下方未提供具体的代码片段或 Diff 信息，本次审查无法针对具体逻辑、安全或性能进行深度分析。基于您提供的项目结构，该系统核心目录与 **CodeIgniter 3** 架构高度一致。若为内部定制版 `phpci` 框架，其组件加载与生命周期机制可能略有差异。在补充代码后，我将立即按照 PSR-12 规范、安全编码标准及框架最佳实践进行逐项审查。
- **风险等级**：待评估 (高/中/低)
## 2. 问题详情
| 严重程度 | 文件/行号 | 问题描述 | 建议修改方案 | 代码示例 (可选) |
| :--- | :--- | :--- | :--- | :--- |
| 🟡 建议 | 全局/未提供 | **缺失变更代码**：未检测到具体的 PHP 代码内容，无法执行静态分析、逻辑推演与安全扫描。 | 请补充需要审查的代码片段、完整文件或 Git Diff。建议包含上下文（如控制器、模型、自定义 Helper/Library 或路由配置）。 | `// 请在此处粘贴变更代码` |
| 🟠 警告 | system/ 目录 | **核心目录修改风险**：若新增/修改代码直接位于 `system/` 目录下，将导致框架升级困难、全局冲突风险增加，且违背 MVC 扩展原则。 | 强烈建议将业务逻辑与自定义组件放置于 `application/` (或 `app/`) 目录。通过继承核心类、使用 Hook/Event 或 Composer 自动加载进行扩展。 | `class MY_Email extends CI_Email { /* 覆盖或扩展方法 */ }` |
| 🟡 建议 | 框架适配 | **框架版本与 PHP 兼容性**：该结构常见于 PHP 5.6~7.4 时代。若运行环境已升级至 PHP 8.0+，部分旧版语法（如 `each()`、`create_function()`、动态属性）将触发致命错误。 | 启用 `error_reporting(E_ALL)` 进行兼容性测试；逐步替换废弃函数，添加严格类型声明 `declare(strict_types=1);` 及参数/返回类型提示。 | `public function process(array $data): bool { ... }` |
## 3. 总结与行动建议
- **优先修复的关键问题**：
1. **补充代码内容**：请提供具体的变更文件路径与代码片段，以便定位精确行号、逻辑漏洞与安全缺陷。
2. **确认扩展规范**：核查新增代码是否遵循“不修改 `system/` 核心文件”的原则，避免破坏框架升级路径与全局稳定性。
- **后续重构或优化的方向性指导**：
1. **安全基线**：针对该架构，重点审查数据库操作是否使用 Query Builder 或预处理语句（防 SQL 注入）；所有用户输入输出是否经过 `htmlspecialchars()` 或框架内置过滤；表单提交是否启用 CSRF Token 验证。
2. **性能调优**：避免在循环中执行数据库查询或文件 I/O；合理使用 `Cache` 驱动（如 Redis/Memcached）缓存高频只读数据；注意 Session 驱动配置与并发写入锁问题。
3. **代码规范**：严格遵循 PSR-12，统一命名风格（类名 PascalCase，方法/变量 camelCase）；移除冗余注释，使用 PHPDoc 标注复杂逻辑；提取重复代码为独立 Helper 或 Trait。
4. **框架适配说明**：若确为 `phpci` 定制框架，部分组件（如 `$this->load->`、`$this->db->`）的调用时机与生命周期可能与标准 CI3 存在差异。建议查阅贵司内部 `phpci` 官方文档，确认 Hook 注册、服务容器初始化及自动加载机制的具体实现。
> 💡 **下一步**：请回复具体的变更代码（支持粘贴完整文件或 Git Diff 格式）。收到后，我将立即输出包含精确行号定位、漏洞复现路径、可直接替换的修复代码及性能对比的完整审查报告。
---
*此 Issue 由代码审查服务自动创建*...
|
0
|
0
|
0
|
0
|
0
|
|
0
|
1779169630
|
1779169630
|
0
|
0
|
0
|
0
|
Edit
Delete
|
|
387
|
21
|
121
|
1
|
|
0
|
🔍 代码审查报告：pay-260519 - 1
|
## 自动代码审查报告
**分支**: pay-260519
**提交**: `15e0c7fca ## 自动代码审查报告
**分支**: pay-260519
**提交**: `15e0c7fca61763171d0611a91369785065ed63a4`
**提交人**: LITTLEMAIDI (11833999+littlemaidi@user.noreply.gitee.com)
**时间**: 2026-05-27 16:48:53
---
## 1. 审查摘要
- **代码质量评分**：5.5 / 10
- **总体评价**：代码实现了复杂的包厢预订时间计算逻辑，覆盖了营业时段、团购券规则、跨天预订、清扫时间等多维度业务场景。但整体呈现典型的“上帝模型”特征，核心方法过长、职责混杂、状态管理混乱，且存在迭代器修改、静态缓存污染、重复查询等隐患。可维护性与扩展性较差，需进行架构级重构。
- **风险等级**：🔴 高（逻辑边界易出错、静态缓存易引发脏数据、性能瓶颈明显）
## 2. 问题详情
| 严重程度 | 文件/行号 | 问题描述 | 建议修改方案 | 代码示例 (可选) |
| :--- | :--- | :--- | :--- | :--- |
| 🔴 严重 | `get_book_day_time_info` 循环体内 | 在 `foreach ($time_info as $k => &$v)` 中直接使用 `unset($time_info[$k])` 修改正在遍历的数组。PHP 中此操作会导致迭代器指针错乱，可能跳过元素或引发不可预知的内存行为。 | 改为先收集需移除的键，循环结束后统一过滤；或使用 `array_filter` 重构。 | `// 推荐写法<br>$valid_times = array_filter($time_info, function($v) use ($today, $now_hour_time) {<br> return !($v['date'] == $today && $v['time'] <= $now_hour_time);<br>});` |
| 🔴 严重 | 全局静态属性 `self::$book_days_info` 等 | 静态缓存未绑定业务上下文（如 `merchant_id`/`shop_id`/`date`）。在 PHP-FPM 多请求复用或并发场景下，极易返回其他商户的脏数据，导致严重业务错乱。 | 移除静态属性缓存，或改用带唯一键的缓存组件（如 CI Cache/Redis），键名需包含业务参数。 | `$cache_key = "book_days_{$merchant_id}_{$shop_id}_{$date}";<br>$result = $this->cache->get($cache_key);<br>if ($result === false) { /* 计算并缓存 */ }` |
| 🟠 警告 | `get_book_day_time_info` 中段 | `array_intersect(...array_values($all_room_book_time))` 当数组元素少于 2 个时，解包操作在部分 PHP 版本会触发 Warning，且逻辑不符合交集定义。 | 增加元素数量判断，少于 2 个时直接取首个或空数组。 | `if (count($all_room_book_time) >= 2) {<br> $un_book_time = array_intersect(...array_values($all_room_book_time));<br>} else {<br> $un_book_time = reset($all_room_book_time) ?? [];<br>}` |
| 🟠 警告 | `set_shop_config` / `_get_un_book_time` | 多次重复调用 `ahead_shop_config_second_model->get_shop_setting` 获取相同配置项，造成冗余的 DB/缓存查询。 | 在初始化阶段批量获取配置，或引入配置缓存层，避免循环/多方法内重复查询。 | `$configs = $this->ahead_shop_config_second_model->get_batch_settings($merchant_id, $shop_id, $keys);<br>$this->minute_unit = $configs['book_minute_unit'] ?? 30;` |
| 🟡 建议 | 全文多处 | 违反单一职责原则（SRP）。`get_book_day_time_info` 超 300 行，混合了数据拉取、时间区间计算、状态判定、团购券校验、门店规则过滤等逻辑。 | 拆分为独立的服务类或私有方法，如 `TimeSlotCalculator`、`VoucherRuleValidator`、`BusinessHourChecker`。 | `// 控制器/服务层调用<br>$calculator = new TimeSlotCalculator($params);<br>$slots = $calculator->calculateAvailableSlots();` |
| 🟡 建议 | 全文多处 | 存在拼写错误 `opreational_scene`（应为 `operational_scene`），且大量使用魔法数字/字符串（如 `'1'`, `'-1'`, `86400`, `'7'`）。 | 修正拼写，使用类常量或枚举管理状态码与时间常量，提升可读性。 | `const STATUS_AVAILABLE = '1';<br>const STATUS_UNAVAILABLE = '-1';<br>const SECONDS_PER_DAY = 86400;` |
| 🟡 建议 | `__construct` 及多处方法 | 频繁调用 `$CI = &get_instance();`。在 CI 架构中，模型内部应优先使用 `$this->load` 或依赖注入，重复获取实例增加开销且不符合规范。 | 在类顶部声明一次 `$this->ci = &get_instance();`，或统一通过 `$this->load` 加载依赖。 | `protected $ci;<br>public function __construct() {<br> parent::__construct();<br> $this->ci = &get_instance();<br>}` |
| 🟡 建议 | `_get_un_book_time` 末尾 | 代码片段在末尾被截断，未展示完整逻辑。跨天时间计算（`prev_date`/`next_date`）涉及大量字符串拼接与时间转换，易受时区/夏令时影响。 | 补充完整代码审查。建议统一使用 `DateTime` 或 `Carbon` 处理跨天逻辑，避免手动 `strtotime` + 字符串拼接。 | `$dt = new DateTime($date);<br>$prev = $dt->modify('-1 day')->format('Ymd');` |
## 3. 总结与行动建议
### 🔑 优先修复的关键问题
1. **修复迭代器越界风险**：立即替换 `foreach` 中的 `unset` 操作，改用 `array_filter` 或键值收集后批量移除，防止时间列表数据丢失。
2. **清理静态缓存污染**：移除 `self::$book_days_info`、`self::$shop_data` 等静态属性。若需性能优化，请替换为带业务键的 Redis/CI Cache 缓存，并设置合理的 TTL。
3. **防御性输入校验**：`$params` 数组缺乏类型与边界校验。建议在方法入口增加 `assert` 或自定义验证器，确保 `merchant_id`、`shop_id`、`date` 等核心参数合法，避免类型隐式转换引发逻辑漏洞。
### 🛠 后续重构与优化方向
1. **架构拆分（核心）**：将 `Ahead_shop_book_time_info_model` 从“数据模型”升级为“领域服务”。模型仅保留 `get_one`、`get_list` 等基础 DB 操作；将时间计算、规则校验、状态映射抽离至独立的 `BookingTimeService` 或 `VoucherRuleService`。
2. **时间处理标准化**：当前大量使用 `strtotime`、`date('YmdHi')`、手动加减 `86400` 处理跨天逻辑，极易在闰秒、时区切换或 DST 期间产生偏差。建议引入 `Carbon` 或 PHP 8.1+ `DateTimeImmutable`，使用 `modify()`、`diff()` 等语义化方法。
3. **配置与常量治理**：建立统一的 `BookingConfig` 类或配置中心，集中管理 `book_time_limit`、`minute_unit`、状态码等魔法值。避免在多个方法中硬编码或重复查询。
4. **框架适配说明**：当前代码结构高度符合 **CodeIgniter 3** 规范。若 `phpci` 为内部定制框架，请确认其是否支持依赖注入（DI）容器。若支持，建议将 `$this->load->model()` 替换为构造函数注入，以提升单元测试覆盖率与代码可测试性。
> 💡 **注**：由于提供的代码在 `_get_un_book_time` 方法末尾被截断，部分跨天时间合并逻辑未能完整评估。建议补充完整代码后，重点审查 `prev_un_book_time` 与 `next_un_book_time` 的区间合并算法是否覆盖所有边界条件（如 23:55-00:05 跨天场景）。
---
*此 Issue 由代码审查服务自动创建*...
|
0
|
0
|
0
|
0
|
0
|
|
0
|
1779871733
|
1779871733
|
0
|
0
|
0
|
0
|
Edit
Delete
|
|
882
|
22
|
121
|
1
|
|
0
|
1
|
|
0
|
0
|
1
|
1
|
0
|
|
0
|
1793588946
|
1793588953
|
1793588953
|
0
|
0
|
0
|
Edit
Delete
|
|
177
|
18
|
120
|
1
|
|
0
|
🔍 代码审查报告：pc-260519 - 需求 批量更新套餐价格 16243
|
## 自动代码审查报告
**分支**: pc-260519
**提交**: `a01c821ecc ## 自动代码审查报告
**分支**: pc-260519
**提交**: `a01c821eccb39f3c2dae66ad8be91f7e447ccf30`
**提交人**: chenjunfeng (developer.jeff.c@gmail.com)
**时间**: 2026-05-19 13:21:05
---
## 1. 审查摘要
- **代码质量评分**：4.5 / 10 分
- **总体评价**：代码实现了较为复杂的套餐价格管理、跨店同步与列表查询功能，业务逻辑覆盖较全。但存在**严重的 SQL 注入风险**、**典型的 N+1 查询性能瓶颈**、**不规范的模型加载与异常处理**，以及部分 PHP 8.2+ 兼容性问题。整体可维护性与安全性亟待提升。
- **风险等级**：🔴 高
## 2. 问题详情
| 严重程度 | 文件/行号 | 问题描述 | 建议修改方案 | 代码示例 (可选) |
| :--- | :--- | :--- | :--- | :--- |
| 🔴 严重 | `set_package_price` 开头 | 文件顶部直接执行 `$CI = &get_instance();` 与 `$this->load->model('');`。空字符串加载模型会触发致命错误，且全局加载违反框架生命周期与内存管理规范。 | 移除文件顶部代码，改为在方法内部按需加载模型。 | `// 删除顶部两行代码，在方法首行按需加载：<br>$this->load->model('Simple_model');` |
| 🔴 严重 | `mult_set_room_package_service_charge_rate` | 使用原生 SQL 拼接 `$merchantId`、`$goods_types`、`$shop_id` 等参数，未做任何转义或参数绑定，存在极高风险的 **SQL 注入漏洞**。 | 废弃原生 SQL，全面改用 CI 查询构造器（Query Builder）或 `$this->db->escape()`。 | `$this->db->set('_service_charge_rate', $serviceChargeRate)<br> ->where('info._merchant_id', $merchantId)<br> ->where('info._status', 1)<br> ->join('ahead_room_package package', 'info._package_id = package._id')<br> ->where_in('package._type', $params['goods_types'])<br> ->update($this->table_name . ' info');` |
| 🔴 严重 | `set_package_price` | `$packageInfo['_type']` 在 `$packageInfo` 可能为 `null` 时直接访问，若套餐不存在将触发 `Trying to access array offset on null` 错误。 | 增加空值校验，提前拦截非法请求。 | `if (!$packageInfo) { throwError('关联的套餐不存在'); }` |
| 🟠 警告 | `get_package_price_list` | **N+1 查询问题**：在 `foreach ($list['rows'] as &$row)` 循环内多次调用 `select()` 查询商品与门店信息。数据量稍大时将导致数据库连接耗尽与响应超时。 | 提取所有 `package_id` 与 `shop_id`，批量查询后构建键值映射数组，在循环中直接读取。 | 见下方重构示例 |
| 🟠 警告 | `update_with_link` | 调用 `$this->ahead_room_package_infos_model->update_v2()`，该方法在当前类未定义，且通过实例调用自身模型违反单一职责。 | 直接使用 `$this->db->update()` 或封装统一的更新逻辑。 | `$this->db->where(['_shop_id' => $shop_id, '_link_id' => $link_id])<br> ->update($this->table_name, $updateData);` |
| 🟠 警告 | `batch_update` | `$where` 字符串拼接 `IN` 条件，未处理空数组或特殊字符，且绕过查询构造器的安全过滤机制。 | 使用 `$this->db->where_in()` 与 `$this->db->update()` 替代字符串拼接。 | `$this->db->where_in('_package_id', $package_id_arr)<br> ->where('_merchant_id', $merchant_id)<br> ->where('_shop_id', $shop_id)<br> ->update($this->table_name, $update);` |
| 🟠 警告 | `get_package_price_list` | 使用 `addslashes()` 处理 `LIKE` 查询，该函数已不推荐用于 SQL 防注入，且无法正确处理多字节字符。 | 使用框架提供的 `$this->db->escape_like_str()`。 | `$where['ahead_room_package._name LIKE '] = '%' . $this->db->escape_like_str($params['package_name']) . '%';` |
| 🟡 建议 | `set_package_price` | 静态属性通过实例访问 `$this->ahead_vip_level_model::VIP_LEVEL_DEFAULT_NAME`，在 PHP 8.2+ 中已废弃并会触发 `Deprecated` 警告。 | 改为类名直接调用静态属性。 | `count(Ahead_vip_level_model::VIP_LEVEL_DEFAULT_NAME)` |
| 🟡 建议 | 全局方法 | 异常捕获块 `catch (Exception $e) { return FALSE; }` 吞没了异常堆栈，导致线上问题难以排查。 | 记录错误日志后返回，或抛出业务异常供上层统一处理。 | `catch (\Exception $e) {<br> log_message('error', 'Package update failed: ' . $e->getMessage());<br> $this->db->trans_rollback();<br> return FALSE;<br>}` |
| 🟡 建议 | 类定义 | 类名 `Ahead_room_package_infos_model` 使用下划线，不符合 PSR-12 及现代 PHP 命名规范。 | 建议重命名为 `AheadRoomPackageInfosModel`（需全局替换引用）。 | `class AheadRoomPackageInfosModel extends Simple_model` |
## 3. 总结与行动建议
### 🔑 优先修复的关键问题
1. **修复 SQL 注入漏洞**：立即重构 `mult_set_room_package_service_charge_rate` 与 `batch_update` 方法，全面使用 CI3 查询构造器或参数绑定。
2. **消除 N+1 查询**：对 `get_package_price_list` 中的循环查询进行批量优化，预计可提升列表接口性能 5~10 倍。
3. **规范模型加载与生命周期**：移除文件顶部的 `$CI = &get_instance();` 与空模型加载，确保所有依赖在方法内部按需加载。
4. **完善空值与异常处理**：补充 `$packageInfo` 判空逻辑，异常捕获块必须记录日志，避免“静默失败”。
### 🛠 后续重构与优化方向
1. **性能优化示例（N+1 修复）**：
```php
// 在循环前批量获取数据
$packageIds = array_column($list['rows'], 'package_id');
$shopIds = array_column($list['rows'], 'shop_id');
// 批量查询商品与门店（假设 Simple_model 支持批量查询）
$goodsMap = $this->ahead_room_package_goods_model->get_batch_by_package_ids($packageIds);
$shopMap = $this->ahead_shop_model->get_list_by_ids($shopIds);
foreach ($list['rows'] as &$row) {
$row['shop_name'] = $shopMap[$row['shop_id']]['name'] ?? '';
$row['detail'] = $goodsMap[$row['package_id']] ?? [];
// ... 其他格式化逻辑
}
```
2. **框架适配说明**：代码结构高度符合 **CodeIgniter 3** 规范。若 `phpci` 为内部定制框架，请确认 `Simple_model` 的 `listinfos`、`select` 等方法是否已内置 SQL 转义与查询构造器封装。建议逐步将自定义 Base Model 迁移至 CI3 官方 `CI_Model` 标准，以提升可维护性。
3. **PHP 版本兼容性**：当前代码包含多处 PHP 7.x 遗留写法（如静态属性实例调用、`addslashes` 防注入）。若计划升级至 PHP 8.1+，需全面替换废弃语法，并启用 `declare(strict_types=1);` 增强类型安全。
4. **安全加固**：建议引入全局 CSRF 校验中间件，对涉及金额、状态变更的接口增加权限拦截层；敏感操作（如价格同步、批量修改）建议增加操作日志审计。
> ⚠️ **局限性说明**：本次审查仅基于提供的单个 Model 文件。`Simple_model` 基类实现、全局辅助函数（如 `throwError`, `hourToTime`）及控制器层调用逻辑未提供，部分框架特定行为（如 `$this->set_table_name`、`$this->listinfos`）按常规 CI 模式推断。建议结合完整上下文进行集成测试。
---
*此 Issue 由代码审查服务自动创建*...
|
0
|
0
|
0
|
0
|
0
|
|
0
|
1779168065
|
1779168065
|
0
|
0
|
0
|
0
|
Edit
Delete
|
|
386
|
21
|
120
|
1
|
|
0
|
🔍 代码审查报告：pay - Merge branch 'pay-260519' i 🔍 代码审查报告：pay - Merge branch 'pay-260519' into pay...
|
## 自动代码审查报告
**分支**: pay
**提交**: `29073db607931f47 ## 自动代码审查报告
**分支**: pay
**提交**: `29073db607931f47f0440df207567b5759c3b3fe`
**提交人**: zhangjunnan (121158035@qq.com)
**时间**: 2026-05-27 16:48:35
---
## 1. 审查摘要
- **代码质量评分**：5.5 / 10 分
- **总体评价**：业务逻辑覆盖较全面，但代码存在多处**高危安全隐患**（硬编码密钥、SQL拼接风险、PHP 8 不兼容函数）、**性能瓶颈**（循环内数据库查询、重复加载模型）以及**框架规范偏离**。整体可维护性较低，建议优先处理安全与兼容性问题，随后进行架构与规范重构。
- **风险等级**：🔴 高
## 2. 问题详情
| 严重程度 | 文件/行号 | 问题描述 | 建议修改方案 | 代码示例 (可选) |
| :--- | :--- | :--- | :--- | :--- |
| 🔴 严重 | `common_helper.php`<br>`alioss_addObject()` | **硬编码云存储密钥**：`accessId` 与 `accessKey` 直接写死在代码中，极易通过版本库泄露导致云资源被恶意调用或数据丢失。 | 将敏感配置移至 `application/config/oss.php` 或环境变量，通过 CI 配置类读取。 | `// 配置文件中<br>$config['oss_access_id'] = getenv('OSS_ACCESS_ID');<br>$config['oss_access_key'] = getenv('OSS_ACCESS_KEY');` |
| 🔴 严重 | `WxCustomer.php`<br>`goyl()` | **硬编码支付/签名密钥**：`appId`、`mid`、`tid` 及 HMAC 密钥直接暴露。攻击者可伪造支付请求或篡改业务数据。 | 统一抽取至支付配置文件或数据库配置表，禁止在业务逻辑中硬编码。 | `// 移至 config/payment.php<br>$config['goyl']['app_id'] = 'xxx';<br>$config['goyl']['secret'] = 'xxx';` |
| 🔴 严重 | `common_helper.php`<br>`decodeUnicode()` | **使用已废弃函数 `create_function`**：PHP 7.2 起已废弃，PHP 8.0+ 直接移除，会导致 Fatal Error 系统崩溃。 | 替换为匿名闭包函数。 | `return preg_replace_callback('/\\\\u([0-9a-f]{4})/i', function($matches) {<br> return mb_convert_encoding(pack("H*", $matches[1]), "UTF-8", "UCS-2BE");<br>}, $str);` |
| 🔴 严重 | `common_helper.php`<br>`get_printer()` | **SQL 注入风险**：大量使用字符串拼接构造 `WHERE` 条件（如 `'_shop_id= ' . $shop_id`），若传入参数未严格过滤，将导致 SQL 注入。 | 全面改用 CI3 Query Builder 或参数化查询，禁止手动拼接 SQL 片段。 | `$this->db->where('_shop_id', $shop_id)<br> ->where('_status', 1)<br> ->where_in('_checkstand_id', explode(',', $checkstand_id));` |
| 🟠 警告 | `WxCustomer.php`<br>多处方法 | **输入获取方式不一致且缺乏过滤**：混用 `$_GET` 与 `$this->input->get()`。`$_GET` 绕过 CI 的 XSS 过滤机制，且未做类型校验。 | 统一使用 `$this->input->get('key', TRUE)` 获取并自动 XSS 过滤，关键参数需显式类型转换。 | `$family_server_id = $this->input->get('family_server_id', TRUE);<br>if (empty($family_server_id)) { ... }` |
| 🟠 警告 | `Ahead_ai_book_model.php`<br>`_get_date_room_list_info()` | **N+1 查询性能瓶颈**：在 `foreach ($room_data as $room)` 循环内调用 `get_date_can_book_time_info()`，包厢数量多时将引发严重数据库压力。 | 改为批量查询：收集所有 `room_id`，一次性查出时间段数据，再在 PHP 层按 `room_id` 分组映射。 | `// 伪代码<br>$room_ids = array_column($room_data, 'room_id');<br>$time_infos = $this->db->where_in('room_id', $room_ids)->get('can_book_time')->result_array();<br>// 按 room_id 分组后映射回原数组` |
| 🟠 警告 | `WxCustomer.php`<br>`index()`, `scanToShopping()` | **开放重定向风险**：`redirect_url` 或 `$_GET` 参数未经白名单校验直接拼接至 `redirect()`，可能被钓鱼利用。 | 对跳转目标域名/路径进行白名单校验，或使用 CI 内置路由解析。 | `if (strpos($redirect_url, base_url()) !== 0) {<br> $redirect_url = base_url('default/fallback');<br>}` |
| 🟡 建议 | `WxCustomer.php`<br>`__construct()` | **Session 频繁读取**：多次调用 `$this->session->{$this->session_prefix . 'uid'}`，增加序列化/反序列化开销。 | 在构造函数中一次性读取并缓存至类属性，后续直接使用 `$this->uid`。 | `// __construct 中<br>$prefix = $this->session_prefix;<br>$this->uid = $this->session->userdata($prefix.'uid');<br>$this->nickname = $this->session->userdata($prefix.'nickname');` |
| 🟡 建议 | `WxCustomer.php`<br>全局 | **模型加载分散**：各方法内频繁 `$this->load->model()`，影响执行效率且不符合 CI 最佳实践。 | 将高频使用的模型移至构造函数加载，或配置 `autoload.php` 自动加载。 | `// __construct 中<br>$this->load->model(['Ahead_family_servers_model', 'Ahead_shop_config_model']);` |
| 🟡 建议 | `common_helper.php`<br>`do_log()` | **错误抑制符滥用**：使用 `@mkdir` 和 `@file_put_contents` 掩盖权限或磁盘满等致命错误，不利于运维排查。 | 移除 `@`，增加目录创建失败或写入失败的异常捕获与日志告警。 | `if (!is_dir($dirname) && !mkdir($dirname, 0777, true)) {<br> error_log("Failed to create log dir: $dirname");<br>}` |
> 📌 **注**：`Ahead_ai_book_model.php` 文件末尾被截断，无法审查 `del_ai_book_info()` 及后续逻辑。若涉及 Redis 操作或事务处理，请确保补充完整后再次审查。
## 3. 总结与行动建议
### 🔑 优先修复的关键问题（P0）
1. **清除硬编码密钥**：立即将 `alioss_addObject` 与 `goyl` 中的 AccessKey、支付密钥迁移至配置文件或环境变量，并检查 Git 历史是否已泄露。
2. **替换 `create_function`**：全局搜索并替换为匿名函数，确保代码兼容 PHP 7.4+ / 8.x。
3. **修复 SQL 拼接漏洞**：`get_printer()` 及相关查询必须全面切换至 CI3 Query Builder (`$this->db->where()`, `$this->db->where_in()`)，杜绝字符串拼接。
### 🛠 后续重构与优化方向
1. **统一输入输出规范**：
- 彻底废弃 `$_GET`/`$_POST` 直接访问，全部改用 `$this->input->get/post('key', TRUE)`。
- 对金额、ID、时间戳等参数强制类型转换（如 `intval()`, `floatval()`），并增加边界值校验。
2. **性能与架构优化**：
- **解决 N+1 查询**：AI 预订模型中的包厢空闲时间查询需改为 `WHERE IN` 批量拉取，利用 PHP 数组重组数据。
- **引入 Service 层**：当前 Controller 承担了过多业务逻辑（如订单创建、支付路由、包厢状态校验）。建议抽离为 `OrderService`、`RoomService`，Controller 仅负责参数接收与响应。
3. **框架适配与代码规范**：
- 假设 `phpci` 为 **CodeIgniter 3**，请严格遵循 CI3 生命周期：使用 `$this->session->userdata()` 替代直接属性访问；使用 `APPPATH` 常量替代 `FCPATH . 'application'` 拼接。
- 全面对齐 **PSR-12** 规范：统一大括号风格、方法命名（驼峰）、添加类型声明（`declare(strict_types=1);`、参数类型、返回类型）。
- 清理历史注释（如 `//edit by nan 17.7.6`），改用 Git 提交记录追溯变更。
> 💡 **提示**：若项目计划升级至 PHP 8+ 或切换至现代框架（如 Laravel/Symfony），建议在本次修复后启动渐进式重构，优先将核心支付、订单、预订模块解耦为独立 Service/Repository 层，以提升可测试性与长期可维护性。
---
*此 Issue 由代码审查服务自动创建*...
|
0
|
0
|
0
|
0
|
0
|
|
0
|
1779871716
|
1779871716
|
0
|
0
|
0
|
0
|
Edit
Delete
|
|
879
|
22
|
120
|
1
|
|
0
|
11
|
|
0
|
0
|
1
|
1
|
0
|
|
0
|
1793337094
|
1793337099
|
1793337099
|
0
|
0
|
0
|
Edit
Delete
|
|
172
|
18
|
119
|
1
|
|
0
|
🔍 代码审查报告：pc-260519 - 前端修改bug
|
## 自动代码审查报告
**分支**: pc-260519
**提交**: `1027bcae4c ## 自动代码审查报告
**分支**: pc-260519
**提交**: `1027bcae4c656c0dfdacf194e4e9a84e72dddddd`
**提交人**: caihongyuchy (1091045324@qq.com)
**时间**: 2026-05-19 11:01:41
---
## 📋 审查摘要
- **变更文件数**: 0
- **严重问题**: 0
- **高危问题**: 0
- **中危问题**: 0
- **建议优化**: 0
> ⚠️ **提示**：您提供的 `## 变更文件内容` 下方为空，未包含需要审查的具体代码。以下报告为占位结构，请补充代码后我将立即重新生成完整审查结果。
## 🐛 发现的问题
### <font color="red">[输入缺失] 未提供变更文件内容</font>
- **严重程度**: <font color="red">严重</font>
- **文件**: 无
- **行号**: 无
- **问题描述**: 提示词末尾 `## 变更文件内容` 下方为空，未提供需要审查的 PHP/JS/Python 等代码片段。无法执行语法解析、逻辑验证、安全扫描及跨文件引用比对。
- **修复建议**: 请粘贴完整的变更代码（包含文件路径或明确标注所属文件）。提供后我将严格按照您的要求，重点验证 CodeIgniter 模型/控制器加载、跨文件方法调用、SQL注入/XSS防护及语法逻辑缺陷。
## ✅ 代码亮点
（待补充代码后评估）
## 📝 总体建议
1. **补充代码**：请提供具体的变更文件内容（建议包含文件头注释或明确标注文件路径，例如 `application/controllers/User.php`）。
2. **审查准备**：收到代码后，我将基于您提供的 `system/` 目录结构（典型 CodeIgniter 3 核心库），重点执行以下检查：
- ✅ `$this->load->model('xxx_model')` 是否对应实际存在的 `Xxx_model.php`
- ✅ 控制器/模型方法调用是否存在拼写错误或未定义引用
- ✅ 数据库查询是否使用查询构造器/预处理语句防 SQL 注入
- ✅ 输入输出是否经过 `xss_clean()`、`htmlspecialchars()` 或框架验证规则过滤
- ✅ 语法规范、资源释放、错误处理及硬编码清理
3. **格式说明**：后续输出将严格遵循您要求的 Markdown 结构与 `<font color="red">` 高亮规则。请随时补充代码，我将立即为您输出深度审查报告。
---
*此 Issue 由代码审查服务自动创建*...
|
0
|
0
|
0
|
0
|
0
|
|
0
|
1779159701
|
1779159701
|
0
|
0
|
0
|
0
|
Edit
Delete
|
|
385
|
21
|
119
|
1
|
|
0
|
🔍 代码审查报告：pay-260519 - 1
|
## 自动代码审查报告
**分支**: pay-260519
**提交**: `66797615c ## 自动代码审查报告
**分支**: pay-260519
**提交**: `66797615c137ce308920c0eec2bce907cd8a1491`
**提交人**: LITTLEMAIDI (11833999+littlemaidi@user.noreply.gitee.com)
**时间**: 2026-05-27 16:48:12
---
## 1. 审查摘要
- **代码质量评分**：5.5 / 10 分
- **总体评价**：业务逻辑覆盖全面，时间计算、订单流转、支付回调等核心链路已实现。但代码呈现典型的“上帝类/上帝方法”特征，缺乏分层设计。存在 **SQL注入隐患、弱加密算法、事务嵌套风险、循环性能瓶颈** 及大量硬编码。整体可维护性与安全性需重点提升。
- **风险等级**：🔴 高
## 2. 问题详情
| 严重程度 | 文件/行号 | 问题描述 | 建议修改方案 | 代码示例 (可选) |
| :--- | :--- | :--- | :--- | :--- |
| 🔴 严重 | `Ahead_yc_order_model.php` / `get_bill_goods_info()` | **SQL注入风险**：使用字符串拼接构造查询条件并直接传入 `$this->select()`，未进行参数绑定或转义。若 `$unique_key` 含特殊字符将导致注入或语法错误。 | 使用框架查询构造器链式调用或 `$this->db->escape()` 进行安全转义。 | ```php<br>// 修改前<br>$sql = '_unique_key="' . $unique_key . '" AND ...';<br>$this->select($sql);<br><br>// 修改后<br>$this->db->where('_unique_key', $unique_key);<br>$this->db->where_in('_status', [1, 4]);<br>$this->db->or_where('_pay_platform', 10);<br>$this->db->where('_status', -1);<br>$this->db->where('_timestamp >', time() - 7*86400);<br>$order_data = $this->get();<br>``` |
| 🔴 严重 | `Ahead_yc_order_model.php` / `encode_group_buying_order()` | **弱加密算法**：使用 `md5()` 进行订单签名验证。MD5 已证实存在碰撞漏洞，不适用于安全校验。 | 改用 `hash_hmac('sha256', ...)` 或框架内置的加密组件。 | ```php<br>// 修改后<br>if ($type === "ENCODE") {<br> return hash_hmac('sha256', $order_id, $this->encrypt);<br>} else {<br> return hash_equals(hash_hmac('sha256', $order_id, $this->encrypt), $sign);<br>}<br>``` |
| 🔴 严重 | `Ahead_songs_order_model.php` / `add_songs_order()` & `notify()` | **事务嵌套风险**：外层方法开启事务后调用 `notify()`，而 `notify()` 内部再次调用 `$this->db->trans_start()`。CI3 默认事务计数器机制在复杂分支下易导致部分提交或死锁。 | 将事务边界统一上移至 Service/Controller 层，Model 层仅负责原子数据操作，不主动管理事务生命周期。 | 移除 `notify()` 中的 `trans_start/complete`，由调用方统一控制。若必须保留，需使用 `$this->db->trans_begin()` 配合显式 `trans_commit()`/`trans_rollback()` 并严格校验状态。 |
| 🟠 警告 | 所有文件头部 | **类外全局 `$CI` 引用**：文件顶部直接执行 `$CI = &get_instance();`。在 CLI、定时任务或异步环境下易触发 `Undefined variable`，且每次 `include` 都会执行，增加开销。 | 移除类外引用，改为在构造函数中按需获取，或封装为 `$this->ci` 属性。 | ```php<br>class Ahead_xxx_model extends Simple_model {<br> protected $ci;<br> public function __construct() {<br> parent::__construct();<br> $this->ci =& get_instance();<br> }<br>}<br>``` |
| 🟠 警告 | `Ahead_shop_book_time_info_model.php` / `get_book_day_time_info()` | **循环内高频时间计算**：`date()`, `strtotime()`, `array_intersect` 在 `foreach` 中重复调用，且未缓存中间结果，导致 CPU 占用高。 | 提前计算基准时间戳，将时间转换移至循环外；使用位运算或预计算数组替代重复 `strtotime`。 | 将 `$date_time = strtotime($date);` 提至循环前，循环内使用 `$date_time + $v['time']` 替代重复解析。 |
| 🟠 警告 | 多个文件 | **魔法数字/字符串泛滥**：支付类型 `'1','3','22'`、订单类型 `6,2,4,10`、状态 `-1,1` 等硬编码散落各处，极易引发逻辑遗漏。 | 提取为类常量或独立配置类，统一命名规范。 | ```php<br>class OrderConst {<br> const PAY_WECHAT = '1';<br> const PAY_VIP = '3';<br> const TYPE_SONG_PREBUY = 6;<br>}<br>``` |
| 🟡 建议 | `Ahead_yc_order_model.php` / `get_detail()`, `get_bill_goods_info()` | **方法过长/职责不清**：单个方法超 500 行，混合了数据查询、金额计算、格式化、关联加载。违反单一职责原则(SRP)，难以测试与维护。 | 拆分为 `OrderQueryService`、`BillCalculator`、`OrderFormatter` 等独立组件，Model 仅保留数据访问逻辑。 | 将金额计算逻辑抽离至 `BillCalculator::calculate($orderData)`，返回结构化数组。 |
| 🟡 建议 | 全局静态属性 | **静态缓存污染风险**：`self::$book_days_info` 等静态变量在 PHP-FPM 单次请求中有效，但若部署于 Swoole/Workerman 等常驻内存环境，会导致跨请求数据污染。 | 改为实例属性，或使用请求级缓存（如 `Registry`、`Request` 对象或 `APCu`）。 | `public $book_days_info = [];` 替代 `public static $book_days_info = [];` |
## 3. 总结与行动建议
### 🔑 优先修复的关键问题
1. **修复 SQL 注入漏洞**：立即替换 `get_bill_goods_info()` 中的字符串拼接查询，全面使用参数绑定或查询构造器。
2. **替换弱加密算法**：将 `md5` 签名验证升级为 `hash_hmac('sha256')`，并配合 `hash_equals` 防时序攻击。
3. **重构事务管理**：梳理 `add_songs_order` 与 `notify` 的事务边界，确保事务扁平化，避免嵌套导致的数据不一致。
4. **清理类外 `$CI` 引用**：统一改为构造函数注入或按需调用，提升环境兼容性。
### 🛠 后续重构与优化方向
- **架构分层**：当前 Model 承担了过多业务逻辑（时间窗计算、账单聚合、支付路由）。建议引入 **Service 层** 处理复杂业务编排，Model 仅负责 CRUD 与基础查询。
- **常量与配置集中化**：建立 `config/order_types.php` 或 `src/Constants/OrderConst.php`，消除魔法值，提升代码可读性与可维护性。
- **性能优化**：对 `get_book_day_time_info` 中的时间区间计算进行算法优化（如使用区间树或预计算映射表），减少 `array_intersect` 与循环内函数调用。
- **规范对齐**：严格遵循 PSR-12 规范（命名空间、缩进、方法长度、类型声明）。若 `phpci` 为 CodeIgniter 3 的定制分支，建议查阅官方文档确认 `DB_driver` 与事务管理的最佳实践，必要时引入 `PHPStan` 或 `Psalm` 进行静态分析。
- **测试覆盖**：针对时间计算边界（跨天、闰年、营业时段重叠）、支付回调幂等性、事务回滚场景补充单元测试，确保核心链路稳定。
> 💡 **注**：代码结构高度契合 CodeIgniter 3 规范。若 `phpci` 为内部定制框架，请核对 `$this->db->trans_*` 与 `get_instance()` 的生命周期是否与官方文档一致。提供的修复方案均兼容标准 CI3/PHP 7.4+ 环境，可直接参考落地。
---
*此 Issue 由代码审查服务自动创建*...
|
0
|
0
|
0
|
0
|
0
|
|
0
|
1779871692
|
1779871692
|
0
|
0
|
0
|
0
|
Edit
Delete
|
|
878
|
22
|
119
|
1
|
|
0
|
11
|
|
0
|
0
|
1
|
1
|
0
|
|
0
|
1793337069
|
1793337082
|
1793337082
|
0
|
0
|
0
|
Edit
Delete
|
|
171
|
18
|
118
|
1
|
|
0
|
🔍 代码审查报告：pc-260616 - 测试
|
## 自动代码审查报告
**分支**: pc-260616
**提交**: `13d8e44c40 ## 自动代码审查报告
**分支**: pc-260616
**提交**: `13d8e44c4056a878ae1e42c27772d250a3e12fc5`
**提交人**: chenjunfeng (developer.jeff.c@gmail.com)
**时间**: 2026-05-19 10:59:58
---
## 1. 审查摘要
- **代码质量评分**：6.5 / 10 分
- **总体评价**：代码整体业务逻辑清晰，完成了增删改查及基础校验功能。但存在明显的变量拼写错误、时间重叠校验逻辑脆弱、潜在 SQL 注入风险以及重复加载模型导致的性能损耗。代码风格偏向传统 CodeIgniter 3 写法，缺乏现代 PHP 类型约束与 PSR-12 规范。
- **风险等级**：🟠 中高风险（存在数据写入错误隐患、逻辑边界漏洞及潜在注入风险）
## 2. 问题详情
| 严重程度 | 文件/行号 | 问题描述 | 建议修改方案 | 代码示例 (可选) |
| :--- | :--- | :--- | :--- | :--- |
| 🔴 严重 | `add_room_timing_detail` 循环内 | **变量名拼写错误**：循环中使用了 `$param` 而非 `$params`，导致 VIP 等级价格全部回退到默认值 `0`，造成严重数据丢失。 | 修正变量名为 `$params`，并建议开启 PHP `E_NOTICE` 或静态分析工具提前拦截。 | `$addData['_vip_level' . $i . '_price'] = $params['vip_level' . $i . '_price'] ?? 0;` |
| 🔴 严重 | `_validate_params` 价格校验段 | **校验逻辑不严谨**：使用 `strpos` 模糊匹配键名，可能误判或漏判；且未对非数字类型进行过滤，若传入字符串会导致比较异常。 | 改用白名单机制或明确指定需校验的字段数组，并强制类型转换。 | `if (in_array($key, $priceFields, true) && (float)$value < 0) { throwError('...'); }` |
| 🟠 警告 | `get_timing_holiday_list` | **潜在 SQL 注入风险**：`$where['_name LIKE '] = '%' . $params['name'] . '%';` 若底层 `Simple_model` 未自动转义，将直接拼接用户输入。 | 使用框架提供的查询构造器方法（如 `like()`）或显式调用转义函数。 | `$this->db->like('_name', $params['name']);` 或 `$this->db->escape_like_str($params['name'])` |
| 🟠 警告 | `_validate_params` 时间重叠 | **区间重叠判断逻辑脆弱**：手动 `-1` 处理边界易出错，且未覆盖所有交叉场景（如完全包含、部分重叠）。 | 采用标准区间重叠算法：`max(start1, start2) < min(end1, end2)`。 | `if (max($startTime, $itemStartTime) < min($endTime, $itemEndTime)) { throwError('时间重叠'); }` |
| 🟠 警告 | 多处方法 | **重复加载模型与常量计算**：`add`、`update`、`list` 均重复执行 `$this->load->model()` 和 `count()`，增加 I/O 与 CPU 开销。 | 将 VIP 等级数量提取为类属性，在构造函数或首次调用时缓存。 | `private $vipMaxLevel; public function __construct() { $this->vipMaxLevel = count(...); }` |
| 🟠 警告 | `del_room_timing_detail` | **软删除未校验记录存在性**：直接执行 `UPDATE` 并返回成功，若 ID 不存在或已删除，仍返回 `['id' => $id]`，误导调用方。 | 增加存在性校验或检查 `affected_rows()`。 | `if ($this->update(...) === false || $this->db->affected_rows() === 0) { throwError('记录不存在或已删除'); }` |
| 🟡 建议 | 文件顶部 | **全局作用域执行 `$CI = &get_instance();`**：文件被 `include` 时即执行，违反 OOP 原则，且可能引发未初始化错误。 | 移除顶部代码，在类构造函数中按需获取实例，或直接使用 `$this->load->model()`。 | `public function __construct() { parent::__construct(); $this->load->model('Simple_model'); }` |
| 🟡 建议 | 全文件 | **缺乏类型声明与 PSR-12 规范**：类名未使用 PascalCase，方法无参数类型/返回类型提示，魔法数字 `0`、`1` 硬编码。 | 遵循 PSR-12，添加 `declare(strict_types=1);`，使用类型提示，定义类常量替代魔法数字。 | `class AheadRoomTimingDetailModel extends Simple_model { const DELETED_AT_ACTIVE = 0; const MIN_TYPE_DEFAULT = 1; }` |
## 3. 总结与行动建议
### 🔑 优先修复的关键问题
1. **立即修复 `$param` 拼写错误**：该 BUG 会导致新增数据时 VIP 价格全部丢失，属于线上高危缺陷。
2. **重构时间重叠校验逻辑**：替换为 `max(start1, start2) < min(end1, end2)` 标准算法，消除 `-1` 边界处理带来的歧义。
3. **强化输入校验与 SQL 安全**：对 `LIKE` 查询使用框架内置转义方法；价格校验改为显式字段白名单 + `(float)` 强转，防止类型混淆。
4. **补充软删除存在性校验**：避免对不存在的记录返回“成功”状态，影响前端交互与业务统计。
### 🛠 后续重构与优化方向
- **架构与规范升级**：
- 建议启用 `declare(strict_types=1);` 并为所有公开方法添加参数类型与返回值类型声明（如 `public function add_room_timing_detail(int $relationId, array $params): array`）。
- 将类名重命名为 `AheadRoomTimingDetailModel`，方法名若框架允许建议转为 `camelCase`。
- 使用类常量管理 `_deleted_at`、`_minimum_type` 等魔法值，提升可维护性。
- **性能优化**：
- 将 `ahead_vip_level_model::VIP_LEVEL_DEFAULT_NAME` 的计数结果缓存至静态属性或配置文件中，避免每次请求重复加载模型与计算。
- 列表查询中的时间格式化 `date("Y-m-d H:i", ...)` 可考虑在数据库层使用 `FROM_UNIXTIME()` 完成，减少 PHP 循环开销。
- **框架适配提示**：
- 当前代码呈现典型的 **CodeIgniter 3** 风格（`get_instance()`、`$this->load->model()`、`listinfos`）。若 `phpci` 为定制框架或 CI4 分支，请查阅官方文档确认：
- 模型加载是否推荐在构造函数中完成？
- `Simple_model` 的 `update/insert` 是否自动处理 `affected_rows` 与事务？
- 全局函数 `throwError` 是否建议替换为 `throw new \RuntimeException()` 或框架异常类？
> 💡 **审查建议**：在合并前，请补充单元测试覆盖 `_validate_params` 的时间重叠边界用例与价格负数拦截用例，并开启 PHP `error_reporting(E_ALL)` 验证无 Notice/Warning 输出。
---
*此 Issue 由代码审查服务自动创建*...
|
0
|
0
|
0
|
0
|
0
|
|
0
|
1779159598
|
1779159598
|
0
|
0
|
0
|
0
|
Edit
Delete
|
|
380
|
21
|
118
|
1
|
|
0
|
🔍 代码审查报告：pay-260519 - 1
|
## 自动代码审查报告
**分支**: pay-260519
**提交**: `9526c8bb4 ## 自动代码审查报告
**分支**: pay-260519
**提交**: `9526c8bb434751493f71e1b7d7d1e13f97bc89bf`
**提交人**: LITTLEMAIDI (11833999+littlemaidi@user.noreply.gitee.com)
**时间**: 2026-05-27 16:37:55
---
## 1. 审查摘要
- **代码质量评分**：5.5 / 10 分
- **总体评价**：代码实现了复杂的包厢预订时间计算逻辑，但存在明显的架构反模式（如模型强状态化、静态缓存键冲突、超长方法违反单一职责）。业务规则交织严重，可维护性与并发安全性较低。部分逻辑存在重复与潜在的性能瓶颈。
- **风险等级**：🔴 高（状态污染与缓存键冲突可能导致线上预订数据错乱）
> 📌 **框架说明**：从目录结构（`system/helpers/`、`application/models/`）及 `$CI = &get_instance()` 的调用方式判断，该代码实际基于 **CodeIgniter 3** 架构。若 `phpci` 为内部定制框架，请结合其官方文档对生命周期与组件加载方式进行微调。
---
## 2. 问题详情
| 严重程度 | 文件/行号 | 问题描述 | 建议修改方案 | 代码示例 (可选) |
| :--- | :--- | :--- | :--- | :--- |
| 🔴 严重 | `get_book_days_info` (约 L158) | **静态缓存键冲突**：`self::$book_days_info` 未区分 `$merchant_id`、`$shop_id`、`$date` 等参数。同一请求内多次调用不同参数时，会返回错误缓存数据，导致日期状态错乱。 | 移除静态变量缓存，改用 CI 缓存驱动（`$this->cache->save()`）或构建复合键。若必须用静态缓存，需使用参数哈希作为键名。 | `// 推荐方案：使用复合键缓存<br>$cache_key = md5(__METHOD__ . serialize(func_get_args()));<br>if (isset(self::$cache_pool[$cache_key])) return self::$cache_pool[$cache_key];` |
| 🔴 严重 | 全局 (Model 属性) | **模型强状态化反模式**：大量 `public` 属性（如 `$book_room_id`, `$ignore_tuangou_time_limit`, `$tuangou`）用于存储单次请求上下文。在并发请求或同一请求多次实例化时极易发生状态污染。 | 模型应保持无状态。将请求上下文封装为 DTO 对象或通过方法参数传递。复杂业务逻辑应剥离至 `Service` 层。 | `// 错误：$this->book_room_id = $id;<br>// 正确：public function calculate($params, $room_id) { ... }` |
| 🟠 警告 | `set_shop_config` & `set_room_info` | **逻辑重复**：两个方法中计算 `$shop_config_scene` 及加载配置的代码高度重复，违反 DRY 原则。 | 提取为私有方法 `private function resolveShopConfigScene($scene)`，统一调用。 | `private function resolveSceneConfig($scene) {<br> $map = ['2'=>'billiards_', '3'=>'card_', '4'=>'tavern_'];<br> return $map[$scene] ?? '';<br>}` |
| 🟠 警告 | `get_book_day_time_info` (约 L190-L450) | **方法过长 & 违反单一职责**：该方法超 250 行，混合了营业时间计算、套餐规则过滤、不可用时间合并、跨天逻辑、状态标记等。极难测试与维护。 | 拆分为独立私有方法：`_calculateBusinessHours()`, `_applyPackageRules()`, `_mergeUnavailableTimes()`, `_filterTimeSlots()`。主方法仅负责流程编排。 | `// 主方法仅保留流程控制<br>$time_info = $this->_buildBaseTimeSlots($date);<br>$time_info = $this->_applyPackageConstraints($time_info, $params);<br>$time_info = $this->_filterByAvailability($time_info, $un_book_time);` |
| 🟠 警告 | 多处 (`$CI = &get_instance()`) | **频繁获取 CI 实例**：在多个方法中重复调用 `&get_instance()`，且直接读取控制器属性（如 `$CI->merchant_id`）。破坏封装性且增加开销。 | 在构造函数中统一赋值 `$this->ci = &get_instance();`，后续使用 `$this->ci`。控制器上下文应通过参数或 Session/Config 传递。 | `public function __construct() {<br> parent::__construct();<br> $this->ci = &get_instance();<br>}` |
| 🟡 建议 | `get_book_day_time_info` (约 L195) | **输入校验不足**：仅判断 `$date` 是否为空，未校验格式（如 `Ymd`）。非法日期传入 `strtotime` 会导致静默失败或返回错误时间戳。 | 增加正则或 `DateTime::createFromFormat` 校验，失败时抛出明确异常。 | `if (!preg_match('/^\d{8}$/', $date)) {<br> throwError('日期格式错误，应为 YYYYMMDD');<br>}` |
| 🟡 建议 | 全局 (硬编码字符串) | **魔法值泛滥**：`'1'`, `'2'`, `'3'`, `'merchantApp'`, `'-1'` 等散落在业务逻辑中，语义不明确且易改漏。 | 在类顶部定义常量：`const SCENE_KTV = '1'; const SCENE_BILLIARDS = '2'; const SOURCE_MERCHANT_APP = 'merchantApp';` | `if ($scene === self::SCENE_BILLIARDS) { ... }` |
| 🟡 建议 | `_get_un_book_time` (末尾截断) | **代码片段不完整**：方法在 `if (empty($this->next_date_room_book_time))` 处中断，无法审查后续逻辑（如次日时间合并、边界处理）。 | 请补充完整代码以便进行闭环审查。当前可见部分已存在多次重复的 `get_one` 查询，建议合并为批量查询。 | *(待补充)* |
---
## 3. 总结与行动建议
### 🚨 优先修复的关键问题
1. **消除模型状态污染**：立即将 `$book_room_id`、`$ignore_tuangou_time_limit`、`$tuangou` 等请求级状态移出 Model 属性。建议创建 `BookingTimeCalculator` 服务类，通过构造函数或方法参数注入上下文。
2. **修复静态缓存键冲突**：`self::$book_days_info` 等静态缓存必须加入参数指纹（如 `md5($merchant_id . $shop_id . $date)`），否则在多门店/多日期并发查询时必现数据串扰。
3. **拆分巨型方法**：`get_book_day_time_info` 是典型“上帝方法”。请按“数据获取 → 规则计算 → 状态过滤 → 结果格式化”四个阶段拆分为独立方法，并补充单元测试。
### 🛠 后续重构与优化方向
- **架构分层**：遵循 `Controller → Service → Model` 分层。Model 仅负责数据库 CRUD 与基础数据映射；时间计算、套餐规则、营业逻辑等复杂业务下沉至 Service 层。
- **性能优化**：
- 将 `_get_un_book_time` 中对前一日、当日、后一日的多次 `get_one` 查询合并为单次 `get_where_in` 批量查询，减少 DB 往返。
- 时间区间计算可考虑引入 `Carbon` 或自定义 `TimeRange` 值对象，替代散落的 `strtotime`/`date`/字符串拼接，提升可读性与准确性。
- **规范与安全**：
- 全面替换魔法值为类常量。
- 对 `$params` 中的 `date`、`merchant_id`、`shop_id` 增加严格类型与格式校验，防御越权与异常输入。
- 若项目运行在 PHP 7.4+，建议为所有方法添加返回类型声明（如 `: array`, `: void`），提升静态分析能力。
> 💡 **提示**：由于提供的代码在 `_get_un_book_time` 方法末尾截断，当前审查主要基于可见逻辑。若需对次日时间合并、跨天清扫逻辑进行深度验证，请补充完整代码片段。
---
*此 Issue 由代码审查服务自动创建*...
|
0
|
0
|
0
|
0
|
0
|
|
0
|
1779871075
|
1779871075
|
0
|
0
|
0
|
0
|
Edit
Delete
|
|
868
|
22
|
118
|
1
|
|
0
|
11111
|
|
0
|
0
|
1
|
1
|
0
|
|
0
|
1793164870
|
1793164877
|
1793164877
|
0
|
0
|
0
|
Edit
Delete
|
|
169
|
18
|
117
|
1
|
|
0
|
🔍 代码审查报告：pc-260616 - 测试
|
## 自动代码审查报告
**分支**: pc-260616
**提交**: `bfaec9f980 ## 自动代码审查报告
**分支**: pc-260616
**提交**: `bfaec9f9802097c0f7a2014143a64f3a74fc6d20`
**提交人**: chenjunfeng (developer.jeff.c@gmail.com)
**时间**: 2026-05-19 10:59:07
---
## 1. 审查摘要
- **代码质量评分**：6/10
- **总体评价**：代码实现了计时开房详情的核心 CRUD 逻辑与基础业务校验，但存在明显的变量拼写错误、框架使用不规范、重复加载依赖及时间边界处理隐患。整体逻辑可跑通，但健壮性、可维护性与安全性需重点优化。
- **风险等级**：🟠 中（存在运行时致命错误隐患、潜在 SQL 注入风险及性能冗余）
## 2. 问题详情
| 严重程度 | 文件/行号 | 问题描述 | 建议修改方案 | 代码示例 (可选) |
| :--- | :--- | :--- | :--- | :--- |
| 🔴 严重 | `add_room_timing_detail` (约第58行) | 循环内误用未定义变量 `$param` 而非 `$params`，将触发 PHP `Notice/Error`，导致 VIP 价格数据写入失败或覆盖为默认值。 | 修正变量名，确保与参数声明一致。 | `$addData['_vip_level' . $i . '_price'] = $params['vip_level' . $i . '_price'] ?? 0;` |
| 🔴 严重 | 文件顶部 (第5-6行) | 在类外部使用 `$CI = &get_instance();` 并加载模型。违反 OOP 封装原则，在 CLI 环境或并发请求下易引发未定义行为或内存泄漏。 | 移除全局 `$CI` 调用。依赖加载应移至构造函数或具体业务方法内。 | 删除顶部两行，改用 `$this->load->model()` 按需加载。 |
| 🟠 警告 | `_validate_params` (约第118行) | `strtotime()` 未校验返回值。若传入非法时间格式（如 `2023-13-01`），将返回 `false`，后续 `-1` 及大小比较将产生类型错误与逻辑漏洞。 | 增加时间解析校验，失败时直接拦截。 | `if ($startTime === false || $endTime === false) throwError('时间格式不合法');` |
| 🟠 警告 | `get_timing_holiday_list` (约第88行) | `$where['_name LIKE '] = '%' . $params['name'] . '%';` 依赖底层 `Simple_model` 是否自动转义。若未使用预处理，存在 SQL 注入风险。 | 使用框架标准查询构造器或显式转义，避免手动拼接 LIKE 条件。 | `$this->db->like('_name', $params['name']);` (若底层支持) |
| 🟠 警告 | 多处方法内 | 重复调用 `$this->load->model('ahead_vip_level_model')` 及 `count(...)`。频繁加载模型与访问静态常量增加 I/O 与 CPU 开销。 | 将模型加载移至构造函数，将 VIP 等级上限提取为类属性缓存。 | `private $vipMaxLevel; public function __construct() { parent::__construct(); $this->load->model('ahead_vip_level_model'); $this->vipMaxLevel = count(ahead_vip_level_model::VIP_LEVEL_DEFAULT_NAME); }` |
| 🟡 建议 | `_validate_params` (价格校验循环) | 使用 `strpos` 匹配价格字段不够严谨，且 `$value < 0` 未做类型转换，字符串比较在 PHP 8+ 中可能抛出 `TypeError`。 | 明确价格字段白名单，或使用 `is_numeric()` + 强制浮点转换。 | `if (in_array($key, $priceKeys, true) && (float)$value < 0) throwError('...');` |
| 🟡 建议 | 全局函数 `throwError()` | 使用全局函数中断流程不符合现代 PHP 异常处理规范，不利于单元测试、错误堆栈追踪与统一响应拦截。 | 建议替换为抛出标准异常（如 `InvalidArgumentException`），由控制器或中间件统一捕获。 | `throw new \InvalidArgumentException('节假日名称不能为空');` |
| 🟡 建议 | 类/方法命名 | 类名 `Ahead_room_timing_detail_model` 与方法名未遵循 PSR-12 驼峰命名规范，降低代码可读性与 IDE 自动补全体验。 | 建议重构为 `AheadRoomTimingDetailModel` 及 `deleteRoomTimingDetail()` 等。 | 符合 PSR-12 命名约定。 |
| 🟡 建议 | `get_timing_holiday_list` 字段拼接 | 循环内使用 `$fields .= ...` 拼接 SQL 字段字符串，效率低且不易维护。 | 使用数组收集字段名，循环结束后通过 `implode()` 合并。 | `$fieldsArr = []; foreach(...) $fieldsArr[] = "..."; $fields = implode(',', $fieldsArr);` |
> 💡 **框架适配说明**：当前代码结构、`$this->load->model()`、`$this->insert()` 等调用方式高度契合 **CodeIgniter 3** 规范。若 `phpci` 为内部定制框架，请确认其底层 `Simple_model` 是否已内置 PDO 预处理与自动转义机制。若未内置，上述 SQL 注入风险需优先处理。
## 3. 总结与行动建议
### 🔑 优先修复的关键问题
1. **修复致命拼写错误**：立即将 `add_room_timing_detail` 中的 `$param` 更正为 `$params`，否则新增 VIP 价格功能将直接失效。
2. **移除全局 `$CI` 实例**：将 `$CI = &get_instance();` 及外部 `load->model()` 删除，改为在类内部按需加载，避免上下文污染。
3. **强化时间校验**：为 `strtotime()` 增加返回值校验，防止非法时间字符串导致业务逻辑崩溃或产生错误的时间重叠判断。
### 🛠 后续重构与优化方向
- **统一异常处理机制**：逐步废弃全局 `throwError()`，引入 `try-catch` 与自定义异常类（如 `BusinessException`），配合全局错误处理器返回标准化 JSON 响应。
- **提取 VIP 配置逻辑**：将 VIP 等级字段生成、价格校验逻辑抽离为独立方法（如 `buildVipFields()`、`validateVipPrices()`），消除 `add`/`update`/`list` 中的重复代码，提升可维护性。
- **规范数据库交互**：若底层 `Simple_model` 不支持自动转义，请全面改用框架提供的 Query Builder 链式调用（如 `$this->db->where()`, `$this->db->like()`），彻底杜绝 SQL 注入隐患。
- **遵循 PSR-12 规范**：在后续迭代中逐步重命名类与方法，补充 PHPDoc 类型声明（如 `@param int $relationId`），并启用 `PHP_CodeSniffer` 进行静态检查。
---
*此 Issue 由代码审查服务自动创建*...
|
0
|
0
|
0
|
0
|
0
|
|
0
|
1779159547
|
1779159547
|
0
|
0
|
0
|
0
|
Edit
Delete
|
|
379
|
21
|
117
|
1
|
|
0
|
🔍 代码审查报告：pay-260519 - 1
|
## 自动代码审查报告
**分支**: pay-260519
**提交**: `1297c9757 ## 自动代码审查报告
**分支**: pay-260519
**提交**: `1297c97575e9eb332e955aaa4f63a84310cf42eb`
**提交人**: LITTLEMAIDI (11833999+littlemaidi@user.noreply.gitee.com)
**时间**: 2026-05-27 16:37:11
---
## 1. 审查摘要
- **代码质量评分**：5.5 / 10 分
- **总体评价**：代码实现了复杂的包厢预订时段计算逻辑，涵盖跨天营业、团购券校验、最低时长限制、清扫缓冲等业务场景。但存在明显的架构设计缺陷：静态缓存滥用导致状态污染、方法职责过重、时间计算缺乏时区安全、强依赖全局超对象且缺乏输入校验。整体可维护性与健壮性较低，需进行结构性重构。
- **风险等级**：🔴 高（静态缓存脏数据、时间计算边界漏洞、方法过长导致逻辑难以追踪）
> 📌 **注**：代码呈现典型的 **CodeIgniter 3** 架构特征（如 `get_instance()`、`$this->load->model()`）。若 `phpci` 为内部定制框架，请确认其生命周期与 CI 一致。以下审查基于 CI/PHP 通用最佳实践。此外，**文件末尾代码被截断**，部分逻辑（如下一天不可用时间的完整计算）无法全面评估。
---
## 2. 问题详情
| 严重程度 | 文件/行号 | 问题描述 | 建议修改方案 | 代码示例 (可选) |
| :--- | :--- | :--- | :--- | :--- |
| 🔴 严重 | 约 145-150 行 | **静态缓存状态污染**：`self::$book_days_info` 等静态变量在首次赋值后直接返回，未区分 `$merchant_id`、`$shop_id`、`$add_day` 等参数。同一请求处理不同门店/日期时将返回错误数据。 | 改为实例级缓存或带复合键的静态缓存，或在方法入口清空/校验缓存键。 | `private static $book_days_cache = [];<br>public function get_book_days_info(...) {<br> $cache_key = md5(implode('_', func_get_args()));<br> if (isset(self::$book_days_cache[$cache_key])) return self::$book_days_cache[$cache_key];<br> // ... 计算逻辑 ...<br> return self::$book_days_cache[$cache_key] = $result;<br>}` |
| 🔴 严重 | 约 200-210 行 | **静态门店数据缓存未区分门店**：`self::$shop_data` 仅缓存首次查询的门店配置。若同请求切换 `$shop_id`，将复用错误营业时间，导致时段计算全面错乱。 | 移除静态缓存，或改为 `self::$shop_data[$shop_id]` 键值对缓存。 | `if (!isset(self::$shop_data[$shop_id])) {<br> self::$shop_data[$shop_id] = $this->ahead_shop_model->get_one(...);<br>}<br>$shop_data = self::$shop_data[$shop_id];` |
| 🟠 警告 | 全文多处 | **频繁调用 `get_instance()`**：每次调用都会产生函数开销，且破坏 OOP 封装。CI 框架推荐在构造函数中绑定一次。 | 在类属性中声明 `$ci`，构造函数中赋值，后续统一使用 `$this->ci`。 | `private $ci;<br>public function __construct() {<br> parent::__construct();<br> $this->ci =& get_instance();<br>}` |
| 🟠 警告 | 约 250-400 行 | **时间计算未处理时区/夏令时**：大量使用 `strtotime()`、`date()` 及硬编码 `86400` 进行加减。在跨天、夏令时切换或服务器时区变更时极易产生 `±1小时` 偏差。 | 统一使用 `DateTimeImmutable` 或 `Carbon` 库，显式指定时区，避免直接操作时间戳。 | `$dt = new DateTimeImmutable($date, new DateTimeZone('Asia/Shanghai'));<br>$end = $dt->modify('+1 day')->setTime(0,0);` |
| 🟠 警告 | 约 280-350 行 | **魔法数字与状态码硬编码**：`'1'`、`'-1'`、`86400`、`3600`、`'7'` 等散落各处，语义不明且极易在后续维护中引发逻辑错误。 | 提取为类常量，统一命名规范。 | `const STATUS_AVAILABLE = '1';<br>const STATUS_UNAVAILABLE = '-1';<br>const SECONDS_PER_DAY = 86400;` |
| 🟠 警告 | 约 230-550 行 | **方法职责过重（SRP 违反）**：`get_book_day_time_info` 超过 300 行，混合了数据查询、时间区间合并、套餐校验、状态标记、前端展示字段组装。难以测试与维护。 | 拆分为独立方法：`fetchBookingData()`、`calculateUnavailableSlots()`、`applyPackageRules()`、`formatTimeSlots()`。 | 见下方重构建议 |
| 🟡 建议 | 约 300 行 | **数组解包潜在风险**：`array_intersect(...array_values($all_room_book_time))` 在数组为空时会抛出 `ArgumentCountError`。虽有 `count > 1` 保护，但边界仍脆弱。 | 使用 `array_reduce` 或显式循环求交集，或确保数组非空。 | `if (count($all_room_book_time) > 1) {<br> $un_book_time = array_intersect(...array_values($all_room_book_time));<br>} else {<br> $un_book_time = reset($all_room_book_time) ?? [];<br>}` |
| 🟡 建议 | 约 100-130 行 | **输入参数缺乏校验**：`$params` 直接用于数据库查询与逻辑分支，未校验类型、必填项或合法范围。 | 增加前置校验或使用 CI 的 `form_validation`/自定义验证器。 | `if (empty($params['merchant_id']) || empty($params['shop_id'])) {<br> throwError('缺少必要参数');<br>}` |
| 🟡 建议 | 全文 | **PSR-12 规范与注释缺失**：属性声明混杂、部分方法无 PHPDoc、长行未换行、全局函数（如 `throwError`、`mergeTimeRanges`）依赖隐式加载。 | 遵循 PSR-12 格式化，补充 `@param`、`@return`、`@throws`，显式加载依赖或使用 DI。 | 使用 `php-cs-fixer` 自动格式化，补充类型声明：`public function get_book_days_info(int $merchant_id, int $shop_id, string $check_date = '', bool $add_day = false): array` |
---
## 3. 总结与行动建议
### 🔑 优先修复的关键问题
1. **静态缓存污染**：立即修复 `self::$book_days_info` 和 `self::$shop_data` 的缓存策略。这是导致线上“时段显示错乱/不可预订”的高频根因。
2. **时间计算安全**：将所有 `strtotime` + 秒数加减的逻辑替换为 `DateTimeImmutable` 或 `Carbon`，并统一时区配置（建议在 `index.php` 或框架入口设置 `date_default_timezone_set('Asia/Shanghai')`）。
3. **魔法数字常量化**：将 `'1'/'-1'`、`86400`、`3600` 等提取为类常量，提升代码可读性与可维护性。
### 🛠 后续重构与优化方向
1. **拆分巨型方法**：将 `get_book_day_time_info` 按职责拆分为 4~5 个私有方法。例如：
```php
private function calculateBaseUnavailableSlots($params): array
private function applyPackageConstraints(array &$slots): void
private function applyBusinessHoursConstraints(array &$slots): void
private function formatResponseSlots(array $slots): array
```
2. **引入策略模式处理规则**：当前大量 `if ($this->tuangou->verify_token)`、`if ($this->ignore_tuangou_time_limit)` 嵌套。建议抽象为 `BookingRuleInterface`，通过工厂或配置动态加载规则链，避免 `if-else` 爆炸。
3. **依赖注入替代全局加载**：逐步将 `$this->load->model()` 和 `$this->load->library()` 移至构造函数或通过 Service Container 注入，便于单元测试与 Mock。
4. **性能优化**：
- 对 `array_intersect`、`array_merge` 等高频数组操作，若数据量 > 1000，建议改用位运算或预计算索引。
- 考虑将 `prev_date` 和 `next_date` 的数据库查询合并为 `WHERE _date IN (...)` 批量查询，减少 DB 往返次数。
5. **补充单元测试**：针对跨天营业、套餐时长不足、清扫缓冲、不可用星期等边界场景编写 PHPUnit 用例，确保重构不破坏核心业务逻辑。
> 💡 **提示**：由于代码在 `$this->next_date_room_book_time = [...]` 处截断，后续关于“下一天不可用时间”的计算逻辑未完整展示。建议在完整提交后补充审查，重点关注跨天时间区间的合并算法与边界条件处理。
---
*此 Issue 由代码审查服务自动创建*...
|
0
|
0
|
0
|
0
|
0
|
|
0
|
1779871031
|
1779871031
|
0
|
0
|
0
|
0
|
Edit
Delete
|
|
867
|
22
|
117
|
1
|
|
0
|
11111
|
|
0
|
0
|
1
|
1
|
0
|
|
0
|
1793164848
|
1793164854
|
1793164854
|
0
|
0
|
0
|
Edit
Delete
|
|
167
|
18
|
116
|
1
|
|
0
|
🔍 代码审查报告：pc-260519 - 需求 批量更新套餐价格 16243
|
## 自动代码审查报告
**分支**: pc-260519
**提交**: `40674f2faf ## 自动代码审查报告
**分支**: pc-260519
**提交**: `40674f2faf0d77c8ce70e8554f2b9470c5c4c14b`
**提交人**: chenjunfeng (developer.jeff.c@gmail.com)
**时间**: 2026-05-19 10:44:49
---
## 1. 审查摘要
- **代码质量评分**：6.5 / 10 分
- **总体评价**：代码整体遵循了基础的 MVC 分层思想，业务意图清晰。但在变量作用域、数据隔离校验、区间逻辑判断及代码规范性上存在明显缺陷。存在一处致命拼写错误将直接导致运行时崩溃，且部分校验逻辑较为脆弱，需重点修复。
- **风险等级**：🔴 高（存在未定义变量崩溃风险、潜在越权删除隐患及边界逻辑漏洞）
> 📌 **框架适配说明**：当前代码结构（`get_instance()`、`$this->load->model()`、`Simple_model` 基类调用方式）高度符合 **CodeIgniter 3** 架构特征。若项目实际运行环境为 `phpci`，请确认其底层是否完全兼容 CI3 语法。以下审查基于通用 PHP 规范及 CI 架构最佳实践进行。
## 2. 问题详情
| 严重程度 | 文件/行号 | 问题描述 | 建议修改方案 | 代码示例 (可选) |
| :--- | :--- | :--- | :--- | :--- |
| 🔴 严重 | `add_room_timing_detail` (~68行) | 循环内误用未定义变量 `$param`（应为 `$params`），将触发 `Undefined variable` 警告并导致 VIP 价格数据写入为 `0` 或报错。 | 修正变量名，并建议在开发环境开启 `error_reporting(E_ALL)` 拦截此类拼写错误。 | `$addData['_vip_level' . $i . '_price'] = $params['vip_level' . $i . '_price'] ?? 0;` |
| 🔴 严重 | `del_room_timing_detail` (~24-30行) | 方法签名未接收 `$relationId`，且删除条件仅依赖 `_id`。若 ID 为全局自增，将导致越权删除其他关联数据。 | 补充 `$relationId` 参数，并在 `$where` 中增加关联 ID 与未删除状态校验。 | `public function del_room_timing_detail($relationId, $id) { $where = ['_id'=>$id, '_relation_id'=>$relationId, '_deleted_at'=>0]; ... }` |
| 🟠 警告 | `_validate_params` (~145-152行) | 时间重叠判断逻辑冗余且使用 `-1` 处理边界，易产生漏判。标准区间交叉判断应为 `max(start1, start2) < min(end1, end2)`。 | 移除 `-1` 魔法操作，改用数学区间交叉公式，提升可读性与准确性。 | `if ($startTime < $itemEndTime && $endTime > $itemStartTime) { throwError("节假日【{$params['name']}】与节假日【{$item['_name']}】时间重叠"); }` |
| 🟠 警告 | `_validate_params` (~158-165行) | 使用 `strpos` 模糊匹配价格字段键名，可能误判（如匹配到 `discount_price_note`），且循环内多次调用字符串函数影响性能。 | 维护需校验的价格字段白名单，使用精确键名匹配或正则。 | `$priceKeys = ['price','vip_price','minimum_consumption','vip_minimum_consumption']; if (in_array($key, $priceKeys) && $value < 0) throwError('...');` |
| 🟠 警告 | `get_timing_holiday_list` (~118行) | `foreach ($result['rows'] as &$item)` 使用引用修改数组后未 `unset($item)`，在部分 PHP 版本中可能引发后续数组遍历的引用污染。 | 移除引用符号，通过键名赋值或使用 `array_map` 处理。 | `foreach ($result['rows'] as $k => $v) { $result['rows'][$k]['enable_start_time'] = date("Y-m-d H:i", $v['enable_start_time']); ... }` |
| 🟡 建议 | 全局多处 | 类名与方法名使用下划线分隔，不符合 PSR-12 规范；DocBlock 中 `@param $relationId` 与实际方法签名不符。 | 类名改为大驼峰，方法名改为小驼峰；同步修正注释参数列表。 | `class AheadRoomTimingDetailModel extends Simple_model`<br>`public function addRoomTimingDetail($relationId, $params)` |
| 🟡 建议 | `add/update/list` 方法 | 多次重复调用 `count($this->ahead_vip_level_model::VIP_LEVEL_DEFAULT_NAME)` 和 `strtotime()`，造成冗余计算。 | 将 VIP 最大等级提取为类常量或配置项；时间转换统一在入口处理一次。 | `const VIP_MAX_LEVEL = 5; // 或从 config 读取`<br>`$vipMax = self::VIP_MAX_LEVEL;` |
| 🟡 建议 | `del_room_timing_detail` | 软删除标记 `_deleted_at` 硬编码为 `0`，缺乏语义化，不利于后期状态扩展与维护。 | 定义类常量表示数据状态。 | `const STATUS_NORMAL = 0; const STATUS_DELETED = 1;`<br>`$where['_deleted_at'] = self::STATUS_NORMAL;` |
## 3. 总结与行动建议
### 🔑 优先修复的关键问题
1. **修复致命拼写错误**：立即将 `add_room_timing_detail` 循环中的 `$param` 更正为 `$params`，否则新增功能将直接报错或写入脏数据。
2. **阻断越权删除风险**：为 `del_room_timing_detail` 补充 `$relationId` 参数，并在查询条件中强制校验 `_relation_id` 与 `_deleted_at == 0`，确保数据隔离。
3. **重构时间重叠校验**：废弃 `-1` 边界处理，采用标准区间交叉逻辑 `($startTime < $itemEndTime && $endTime > $itemStartTime)`，避免临界值误判。
### 🛠 后续重构与优化方向
- **规范与可维护性**：全面对齐 PSR-12 命名规范，将魔法数字（如 `0`、`1`）提取为类常量。修正 DocBlock 注释，确保 IDE 能正确提示参数类型。
- **性能与查询优化**：
- 动态拼接 `$fields` 字符串时，建议预先构建数组再使用 `implode(',', $fieldsArr)`，避免循环内字符串频繁拼接。
- 时间格式化 `date("Y-m-d H:i", ...)` 建议在 SQL 层使用 `FROM_UNIXTIME()` 完成，或统一在视图/DTO 层处理，减轻模型层负担。
- **安全加固**：
- `$where['_name LIKE '] = '%' . $params['name'] . '%';` 的防注入能力完全依赖 `Simple_model` 底层实现。建议查阅 `phpci`/CI 官方文档，确认是否自动转义。若未自动处理，应改用框架提供的 Query Builder 方法（如 `$this->db->like('_name', $params['name'])`）。
- 敏感价格字段建议在入库前进行类型强转 `(float)` 或 `number_format()`，防止非法字符串注入导致数据库类型转换异常。
> 💡 **提示**：若 `phpci` 框架对 Model 层有特定的生命周期钩子或数据校验组件（如内置的 Form Validation 或 DTO 映射），建议将 `_validate_params` 中的逻辑迁移至框架标准校验流程中，以提升代码复用性与可测试性。
---
*此 Issue 由代码审查服务自动创建*...
|
0
|
0
|
0
|
0
|
0
|
|
0
|
1779158689
|
1779158689
|
0
|
0
|
0
|
0
|
Edit
Delete
|
|
378
|
21
|
116
|
1
|
|
0
|
🔍 代码审查报告：pay-260519 - 1
|
## 自动代码审查报告
**分支**: pay-260519
**提交**: `d51040a64 ## 自动代码审查报告
**分支**: pay-260519
**提交**: `d51040a64d4ca444a5aa3542ab2812879528d3ff`
**提交人**: LITTLEMAIDI (11833999+littlemaidi@user.noreply.gitee.com)
**时间**: 2026-05-27 16:34:53
---
## 1. 审查摘要
- **代码质量评分**：5.5 / 10 分
- **总体评价**：代码实现了较为复杂的订单计价、会员折扣、包厢预订时段计算等核心业务逻辑，但存在明显的调试代码残留、变量覆盖、SQL 拼接隐患及方法过长等问题。整体架构偏向“过程式堆砌”，缺乏模块化拆分与常量管理，可维护性与扩展性较弱。
- **风险等级**：🔴 高（存在破坏 API 响应、服务费计算错误及潜在 SQL 注入风险）
> 📌 **框架说明**：代码结构、`BASEPATH`、`get_instance()` 及 `$this->CI->load->model()` 等特征高度符合 **CodeIgniter 3** 规范。若 `phpci` 为贵司内部定制分支，请确保以下建议与底层核心兼容。
---
## 2. 问题详情
| 严重程度 | 文件/行号 | 问题描述 | 建议修改方案 | 代码示例 (可选) |
| :--- | :--- | :--- | :--- | :--- |
| 🔴 严重 | `Neworderservice.php` ~L450 | 遗留 `echo $vip_upgrade_data_actual_pay;` 调试语句。在 API 场景下会直接输出到响应体，破坏 JSON/XML 结构，导致客户端解析崩溃。 | 立即移除 `echo`，如需记录日志请使用 CI 日志组件 `$this->CI->log->write_log()`。 | `// 删除该行，或替换为：<br>$this->CI->log->write_log('debug', 'vip_upgrade_actual_pay: ' . $vip_upgrade_data_actual_pay);` |
| 🔴 严重 | `Neworderservice.php` ~L520 | 变量重复赋值覆盖：`$order['_prime_service_charge']` 先被赋值为 `$prime_after_paid_service_charge`，紧接着又被 `$service_charge` 覆盖，导致原始服务费计算结果丢失。 | 核对业务意图，若需保留两个值请重命名变量；若为笔误则删除冗余赋值。 | `$order['_prime_service_charge'] = $prime_after_paid_service_charge;<br>// 删除下方重复的 $order['_prime_service_charge'] = $service_charge;` |
| 🟠 警告 | `Neworderservice.php` ~L280 | 直接拼接 SQL 条件：`"wares_package._package_id in (" . implode(",", $id_array['package_id']) . ")"`，未对数组元素进行类型过滤，存在 SQL 注入风险。 | 使用 CI3 查询构造器 `where_in()`，或对 ID 进行 `(int)` 强转清洗。 | `$clean_ids = array_map('intval', $id_array['package_id']);<br>$this->CI->db->where_in('_package_id', $clean_ids);` |
| 🟠 警告 | `Neworderservice.php` 多处 | 频繁在业务方法内 `$this->CI->load->model()`，增加框架 I/O 开销；且 `$this->CI->Ahead_vip_level_model::VIP_LEVEL_DEFAULT_NAME` 静态访问方式不规范。 | 将常用模型加载移至 `__construct()`；静态常量应通过类名直接访问。 | `// __construct 中：<br>$this->CI->load->model('Ahead_vip_level_model');<br>// 使用时：<br>$vip_max_level = count(Ahead_vip_level_model::VIP_LEVEL_DEFAULT_NAME);` |
| 🟠 警告 | `Ahead_shop_book_time_info_model.php` 多处 | 使用 `self::$book_days_info`、`self::$shop_data` 等静态属性缓存数据。在 PHP-FPM 长进程环境下易跨请求残留，且无失效机制，可能引发脏数据或内存泄漏。 | 改用 CI Cache 驱动或请求级单例，并设置合理 TTL。 | `$key = "shop_book_days_{$merchant_id}_{$shop_id}";<br>if (!$data = $this->cache->get($key)) {<br> // 计算逻辑...<br> $this->cache->save($key, $data, 300);<br>}` |
| 🟡 建议 | `Neworderservice.php` ~L150 | 财务金额计算使用 `sprintf("%.2f", ...)` 返回字符串类型，后续参与加减乘除会触发隐式类型转换，存在精度丢失隐患。 | 统一使用 `round($val, 2)` 返回浮点型，或引入 `bcmath` 扩展进行高精度计算。 | `$__wares_vip_price = round($wares_price_data['vip_price'] * $discount_goods_reward, 2);` |
| 🟡 建议 | 两个文件多处 | 核心方法过长（`getOrderTypeInfo` 超 500 行，`get_book_day_time_info` 超 400 行），严重违反单一职责原则（SRP），难以单元测试与后续迭代。 | 按业务边界拆分为独立私有方法，主方法仅负责流程编排。 | `private function calculateGoodsPricing($goods, $vip_info) {...}<br>private function calculatePackagePricing($package, $vip_info) {...}<br>public function getOrderTypeInfo(...) {<br> $goods_res = $this->calculateGoodsPricing(...);<br> $pkg_res = $this->calculatePackagePricing(...);<br> return $this->assembleOrderResult($goods_res, $pkg_res);<br>}` |
| 🟡 建议 | 两个文件多处 | 大量魔法数字散落（如 `-1`, `1`, `100`, `9999999999999`, `7`），缺乏语义化定义，可读性与维护成本高。 | 在类顶部定义 `const` 常量集中管理状态与阈值。 | `const STATUS_DISABLED = -1;<br>const DISCOUNT_BASE = 100;<br>const MAX_REWARD_AMOUNT = 9999999999999;<br>const PAY_PLATFORM_SCAN = 7;` |
---
## 3. 总结与行动建议
### 🚨 优先修复项（P0）
1. **清除调试输出**：全局搜索 `echo`、`var_dump`、`print_r`，确保生产环境无意外输出。
2. **修复变量覆盖**：定位 `$order['_prime_service_charge']` 重复赋值处，确认业务逻辑后修正，避免服务费结算错误引发客诉。
3. **SQL 注入防御**：将所有 `implode` 拼接的 `IN` 查询替换为 `$this->db->where_in()` 或严格类型过滤。
### 🛠 重构与优化方向
1. **方法拆分与职责收敛**：建议将 `Neworderservice` 拆分为 `OrderPriceCalculator`、`VipDiscountStrategy`、`PackageHandler` 等独立类，利用策略模式处理不同支付平台与会员等级的计价逻辑。
2. **财务计算规范化**：金额计算统一使用 `round($value, 2, PHP_ROUND_HALF_UP)`，若涉及分账或高精度对账，强烈建议迁移至 `bcmath` 函数族（如 `bcadd`, `bcmul`）。
3. **缓存机制升级**：移除模型中的静态数组缓存，改用 CI 内置 Cache 库（Redis/Memcached/File）并设置合理过期时间，避免 PHP-FPM 进程池数据污染。
4. **常量与枚举管理**：建立全局配置类或枚举文件，将 `-1`（禁用/不可用）、`1`（启用/可用）、`100`（折扣基数）等魔法值集中管理，提升代码自解释能力。
> ⚠️ **局限性说明**：由于提供的代码片段在 `Neworderservice.php` 末尾及 `Ahead_shop_book_time_info_model.php` 末尾被截断，部分上下文（如 `throwError` 实现、辅助函数 `shiftTimeRange`/`mergeTimeRanges` 定义、数据库事务控制）未能完整评估。建议在完整代码合并前补充上述缺失部分进行二次审查。
---
*此 Issue 由代码审查服务自动创建*...
|
0
|
0
|
0
|
0
|
0
|
|
0
|
1779870893
|
1779870893
|
0
|
0
|
0
|
0
|
Edit
Delete
|
|
866
|
22
|
116
|
1
|
|
0
|
需求 手动关房断电 16981
|
|
0
|
0
|
1
|
1
|
0
|
|
0
|
1793164487
|
1793164494
|
1793164494
|
0
|
0
|
0
|
Edit
Delete
|
|
165
|
18
|
115
|
1
|
|
0
|
🔍 代码审查报告：pc-260519 - 前端修改bug
|
## 自动代码审查报告
**分支**: pc-260519
**提交**: `4e7306a6a6 ## 自动代码审查报告
**分支**: pc-260519
**提交**: `4e7306a6a6644d1331592babacf48ec477325c22`
**提交人**: caihongyuchy (1091045324@qq.com)
**时间**: 2026-05-19 10:06:32
---
## 📋 审查摘要
- **变更文件数**: 1
- **严重问题**: 0
- **高危问题**: 2
- **中危问题**: 2
- **建议优化**: 3
## 🐛 发现的问题
### [逻辑 BUG] `toDecimal2` 方法中变量重复声明与参数误用导致精度计算异常
- **严重程度**: 高危
- **文件**: web/youc_business_operate_pc/src/main.js
- **行号**: 约 65-68 行
- **问题描述**: 函数内先声明 `var f = parseFloat(x);`，随后又声明 `var f = Math.round(x * 100) / 100;`。此处不仅重复声明了变量 `f`，且第二处计算错误地使用了原始参数 `x` 而非已转换的浮点数 `f`。若传入非数字字符串，`Math.round(x * 100)` 会返回 `NaN`，导致后续逻辑失效。此外，JS 中浮点数直接乘除存在精度丢失风险。
- **修复建议**: 移除重复声明，修正变量引用，并推荐使用原生 `Number.prototype.toFixed()` 保证精度与兼容性。
```javascript
Vue.toDecimal2 = function(x) {
var f = parseFloat(x);
if (isNaN(f)) return false;
return Number(f).toFixed(2);
}
```
### [安全隐患] Axios `transformRequest` 全局强制序列化可能破坏文件上传与特殊请求
- **严重程度**: 高危
- **文件**: web/youc_business_operate_pc/src/main.js
- **行号**: 约 118 行
- **问题描述**: `axios.defaults.transformRequest` 被全局重写为 `return JSON.stringify(data)`。当业务需要上传文件（`FormData`）或发送 URL 编码数据时，此配置会将 `FormData` 对象强制序列化为 `"[object Object]"` 字符串，导致后端无法解析，引发请求失败或数据损坏。
- **修复建议**: 删除全局 `transformRequest` 配置，依赖 Axios 默认的序列化机制。若需特定接口使用 JSON，应在具体请求中配置 `headers: { 'Content-Type': 'application/json' }`，或通过 Axios 拦截器按需处理。
### [代码质量] 全局工具函数直接挂载到 `Vue` 构造函数违反 Vue 2 规范
- **严重程度**: 中危
- **文件**: web/youc_business_operate_pc/src/main.js
- **行号**: 约 45-75 行
- **问题描述**: `Vue.ctUrl`、`Vue.request_header`、`Vue.timeoutfun`、`Vue.accMul`、`Vue.toDecimal2` 直接作为静态属性挂载在 `Vue` 构造函数上。这不符合 Vue 2 的插件/原型扩展规范，会造成全局命名空间污染。在组件内调用时需使用 `Vue.xxx` 而非 `this.$xxx`，增加维护成本且不利于单元测试。
- **修复建议**: 将纯函数工具移至 `src/utils/math.js` 独立导出。若需在组件实例中全局使用，应挂载到 `Vue.prototype`（如 `Vue.prototype.$accMul = function...`），或通过 Vue Plugin/Mixin 规范注入。
### [逻辑 BUG] `request_header.merchant_id` 初始化可能为 `undefined` 引发后续请求异常
- **严重程度**: 中危
- **文件**: web/youc_business_operate_pc/src/main.js
- **行号**: 约 24 行
- **问题描述**: `Vue.request_header.merchant_id = store.state.mercid` 在应用启动时同步读取 Vuex 状态。若 `store` 初始化存在异步逻辑，或 `merc` 字段依赖接口返回尚未就绪，此处将赋值为 `undefined`。后续所有请求头将携带非法值，可能导致后端鉴权失败。
- **修复建议**: 使用 Axios 请求拦截器动态读取 `store.state.mercid`，确保每次请求都能获取最新状态，避免初始化竞态条件。
## ✅ 代码亮点
- 采用了按需引入 Element UI 组件的方式，有效减小了 Webpack 打包体积。
- 使用 `VueAxios` 插件将 Axios 集成到 Vue 实例中，便于组件内统一调用。
- 针对本地开发环境 (`localhost`) 和生产环境做了 URL 动态切换处理，提升了多环境部署的适配性。
- `Vue.accMul` 实现了基础的浮点数乘法精度补偿逻辑，体现了对前端数值计算痛点的关注。
## 📝 总体建议
1. **架构职责分离**：当前 `main.js` 承担了过多职责（URL 路由解析、全局配置、数学工具、UI 库注册、网络库配置）。建议拆分为独立模块：`src/config/env.js`（环境配置）、`src/utils/math.js`（工具函数）、`src/plugins/element.js`（UI 注册）、`src/plugins/axios.js`（网络实例），保持入口文件仅负责应用挂载。
2. **跨文件引用验证说明**：提供的「项目结构」仅包含 PHP CodeIgniter 后端系统文件，**未包含前端 Vue 项目目录结构**。因此无法验证 `./App.vue`、`./router`、`./store` 及 `./components/global` 的实际存在性与导出规范。请确保这些文件路径符合 Vue CLI 标准，且 `store` 中正确初始化并导出了 `merc` 状态字段。
3. **状态与请求头解耦**：全局请求头中的动态字段（如 `merchant_id`）强烈建议通过 Axios 拦截器注入，而非在 `main.js` 初始化时静态赋值。这能彻底解决状态不同步、多账号切换未刷新请求头等问题。
4. **类型安全与规范**：建议引入 TypeScript 或完善 JSDoc 注释，对 `Vue.timeoutfun(datas, _this)` 等回调函数的参数类型进行约束，避免 `_this` 上下文传递错误或 `datas` 类型不匹配导致的运行时异常。
---
*此 Issue 由代码审查服务自动创建*...
|
0
|
0
|
0
|
0
|
0
|
|
0
|
1779156393
|
1779156393
|
0
|
0
|
0
|
0
|
Edit
Delete
|
|
377
|
21
|
115
|
1
|
|
0
|
🔍 代码审查报告：pay-260519 - 1
|
## 自动代码审查报告
**分支**: pay-260519
**提交**: `7a26bc126 ## 自动代码审查报告
**分支**: pay-260519
**提交**: `7a26bc126a88c6deedb8b70b5c8031ae5b33e1bb`
**提交人**: LITTLEMAIDI (11833999+littlemaidi@user.noreply.gitee.com)
**时间**: 2026-05-27 16:33:56
---
## 1. 审查摘要
- **代码质量评分**：6.0 / 10 分
- **总体评价**：代码实现了较为复杂的订单计价与包厢预订时间计算逻辑，业务覆盖全面。但存在典型的“上帝方法（God Method）”特征，方法体过长、职责不单一；遗留了调试输出语句；金额计算缺乏高精度控制；且未遵循现代 PHP 类型声明规范。整体可维护性较低，存在线上稳定性与精度风险。
- **风险等级**：🔴 高（涉及金额精度、调试输出污染、逻辑覆盖风险）
> ⚠️ **局限性说明**：提供的代码片段在末尾被截断（如 `getOrderTypeInfo` 未闭合、`Ahead_shop_book_time_info_model.php` 结尾不完整）。本次审查仅基于可见代码进行，若截断部分包含关键事务提交、锁机制或异常回滚逻辑，请补充后二次审查。
> 📌 **框架说明**：代码结构高度符合 `CodeIgniter 3` 规范（`BASEPATH`、`get_instance()`、`$this->load->model()`）。若 `phpci` 为内部定制框架，请结合其官方文档确认组件加载与生命周期差异。
## 2. 问题详情
| 严重程度 | 文件/行号 | 问题描述 | 建议修改方案 | 代码示例 (可选) |
| :--- | :--- | :--- | :--- | :--- |
| 🔴 严重 | `Neworderservice.php` (约第 380 行) | 循环体内遗留 `echo $vip_upgrade_data_actual_pay;` 调试语句。在 API 或 JSON 响应场景下会直接破坏输出结构，导致前端解析失败。 | 立即移除 `echo`，替换为日志记录（如 `log_message('debug', ...)`）或直接删除。 | `// 移除该行，或改为：<br>log_message('debug', 'VIP升级金额累加: ' . $vip_upgrade_data_actual_pay);` |
| 🔴 严重 | `Neworderservice.php` (多处) | 金额计算全程使用浮点数直接乘除累加（如 `$actual_pay += ...`），PHP 浮点数精度缺陷会导致 `0.1+0.2=0.30000000000000004` 类问题，最终结算金额可能偏差。 | 引入 `bcmath` 扩展进行高精度计算，或统一将金额转为“分（整数）”计算，仅在输出时格式化。 | `$actual_pay = bcadd($actual_pay, bcmul($price, $quantity, 2), 2);` |
| 🟠 警告 | `Neworderservice.php` (约第 400 行) | `$order['_prime_service_charge']` 与 `$result['service_charge']` 被重复赋值覆盖，逻辑冗余且易掩盖真实业务意图。 | 清理重复赋值，明确变量职责。若为笔误，保留最终计算值即可。 | `// 删除重复行：<br>$order['_prime_service_charge'] = $service_charge;` |
| 🟠 警告 | `Neworderservice.php` / `Model` 多处 | 频繁在业务方法内部调用 `$this->CI->load->model()` 或 `get_instance()`。CI 框架每次调用均会触发文件包含与实例化检查，造成不必要的性能损耗。 | 将依赖模型统一在 `__construct` 中加载，或配置 CI 的 `autoload.php`。 | `public function __construct() {<br> $this->CI =& get_instance();<br> $this->CI->load->model(['Ahead_vip_level_model', 'Ahead_merchant_goods_model']);<br>}` |
| 🟠 警告 | `Ahead_shop_book_time_info_model.php` (多处) | 大量使用 `strtotime()` + `date()` 进行时间区间运算，未处理时区/夏令时边界，且在循环中重复调用性能较差。 | 使用 PHP `DateTime` 与 `DateInterval` 对象替代，提升准确性与可读性。 | `$dt = new DateTime($date, new DateTimeZone('Asia/Shanghai'));<br>$dt->modify('+1 day');<br>$nextDate = $dt->format('Ymd');` |
| 🟠 警告 | `Neworderservice.php` (约第 100 行) | `count($this->CI->Ahead_vip_level_model::VIP_LEVEL_DEFAULT_NAME)` 通过实例访问静态属性。PHP 8.2+ 已弃用此语法，将触发 `Deprecated` 警告。 | 直接使用类名访问静态属性。 | `count(Ahead_vip_level_model::VIP_LEVEL_DEFAULT_NAME)` |
| 🟡 建议 | `Neworderservice.php` (方法名) | `rest_goods_price_by_un_vip` 存在拼写错误，语义应为 `reset`（重置）。 | 重命名方法并全局替换调用处，保持命名一致性。 | `public function reset_goods_price_by_un_vip(...)` |
| 🟡 建议 | 两文件全篇 | 缺乏类型声明（属性、参数、返回值），违反 PSR-12 规范，降低静态分析工具（PHPStan/Psalm）检测能力与 IDE 提示体验。 | 逐步补充 PHP 7.4+/8.0+ 类型提示。 | `public function getOrderTypeInfo(string $type, array $id_array, array $goods_quantity, int $get_actual_pay = -1, array &$goods_reward = []): array` |
| 🟡 建议 | `Neworderservice.php` (多处) | 魔法数字泛滥（如 `9999999999999`、`1000`、`100`、`-1`、`1`），业务含义不透明，后期维护困难。 | 提取为类常量或配置文件，增强语义。 | `const MAX_REWARD_AMOUNT = 9999999999999;<br>const VIP_DISCOUNT_BASE = 100;` |
## 3. 总结与行动建议
### 🚨 优先修复项（P0）
1. **立即移除 `echo` 调试代码**：防止破坏 API 响应结构或引发前端白屏。
2. **统一金额计算精度**：将核心计价逻辑中的浮点运算替换为 `bcmath` 函数族（`bcadd`, `bcmul`, `bcsub`），或在入库/返回前强制 `round($val, 2)`。
3. **清理重复赋值与冗余逻辑**：检查 `$order['_prime_service_charge']` 等覆盖赋值，确认业务真实意图，避免财务对账差异。
### 🛠 后续重构与优化方向
1. **拆分“上帝方法”**：`getOrderTypeInfo` 与 `get_book_day_time_info` 均超过 300 行，圈复杂度极高。建议按业务域拆分为独立方法或类：
- `calculateGoodsPrice()`
- `calculatePackagePrice()`
- `applyVipDiscount()`
- `calculateServiceCharge()`
- 使用 **策略模式（Strategy Pattern）** 替代冗长的 `switch ($type)`，提升扩展性。
2. **优化模型加载与依赖注入**：CI 框架中频繁 `load->model` 会拖慢响应。建议在 `__construct` 中集中加载，或考虑迁移至依赖注入容器（若框架支持）。
3. **强化输入校验与安全边界**：
- `$id_array`、`$params` 等外部传入数据应使用 CI 的 `form_validation` 或自定义校验器进行类型/范围过滤。
- `throwError()` 若直接输出异常信息，需确保已过滤敏感路径或 SQL 语句，避免信息泄露。
4. **补充现代 PHP 规范**：逐步添加 `declare(strict_types=1);`、属性类型声明、方法返回值类型。可借助 `PHP_CodeSniffer` (PSR-12) 与 `PHPStan` 进行自动化流水线检查。
5. **时间计算重构**：预订逻辑涉及大量跨天、时段合并、区间交集运算。建议封装独立的 `TimeRangeCalculator` 工具类，使用 `DateTimeImmutable` 保证不可变性，避免隐式状态污染。
> 💡 **提示**：若 `phpci` 框架内置了事务管理、缓存驱动或权限中间件，请优先使用框架原生组件替代手写逻辑。建议查阅 `phpci` 官方文档中关于 `Database Transactions`、`Cache` 及 `Middleware` 的最佳实践章节。
---
*此 Issue 由代码审查服务自动创建*...
|
0
|
0
|
0
|
0
|
0
|
|
0
|
1779870837
|
1779870837
|
0
|
0
|
0
|
0
|
Edit
Delete
|
|
827
|
22
|
115
|
1
|
|
0
|
激活判断其他门店的错误提示语
|
|
0
|
0
|
1
|
1
|
0
|
|
0
|
1791868428
|
1791868433
|
1791868433
|
0
|
0
|
0
|
Edit
Delete
|
|
164
|
18
|
114
|
1
|
|
0
|
🔍 代码审查报告：pc-260616 - Merge pull request '合并051 🔍 代码审查报告：pc-260616 - Merge pull request '合并0519最新' (#112) from pc into...
|
## 自动代码审查报告
**分支**: pc-260616
**提交**: `a90eac9c51 ## 自动代码审查报告
**分支**: pc-260616
**提交**: `a90eac9c517a111152e50694d0cad9a322db0dcd`
**提交人**: zhangjunnan (121158035@qq.com)
**时间**: 2026-05-19 09:42:49
---
## 1. 审查摘要
- **代码质量评分**：6.5 / 10 分
- **总体评价**：代码整体业务逻辑清晰，能够完成预订单列表、详情查询与退款等核心功能。但存在明显的 **N+1 查询性能瓶颈**、**事务缺失导致的数据一致性风险** 以及 **变量未初始化引发的运行时警告**。部分写法偏离现代 PHP 规范与框架最佳实践，需进行结构性优化。
- **风险等级**：🟠 中（存在性能隐患与数据一致性风险，无直接高危安全漏洞，但需尽快修复）
> 💡 **框架说明**：从目录结构、`get_instance()`、`$this->load->model()` 等特征判断，该项目高度疑似基于 **CodeIgniter 3** 或深度定制的 `phpci` 框架。以下审查基于 CI 架构规范、PSR-12 标准及现代 PHP 最佳实践。
## 2. 问题详情
| 严重程度 | 文件/行号 | 问题描述 | 建议修改方案 | 代码示例 (可选) |
| :--- | :--- | :--- | :--- | :--- |
| 🔴 严重 | `Ahead_book_order_model.php`<br>`get_list` 方法内 | **N+1 查询与循环内写库**：在 `foreach` 中频繁调用 `ahead_user_model->get_one()` 与 `update_book_mobile()`。数据量稍大时将导致数据库连接耗尽、响应超时，且破坏事务原子性。 | 改为批量处理：收集缺失手机号的 `ahead_user_id`，使用 `WHERE IN` 一次性查询，再统一更新；或直接在初始 SQL 中 `LEFT JOIN` 用户表获取手机号。 | `// 收集ID后批量查询<br>$ids = array_column($missing_mobiles, 'ahead_user_id');<br>$users = $this->ahead_user_model->get_batch(['_id' => $ids], '_id,_mobile');<br>// 映射回原数组并批量更新` |
| 🔴 严重 | `Ahead_book_order_model.php`<br>`update_book_mobile` / `refund` | **资金/状态操作未使用事务**：涉及订单金额、状态变更及多表更新，若中途发生异常或网络中断，将导致主表与关联表数据不一致。 | 使用框架事务机制包裹关键写操作，失败时自动回滚。 | `$this->db->trans_start();<br>$this->update(...);<br>$this->ahead_book_model->update(...);<br>if ($this->db->trans_status() === FALSE) {<br> $this->db->trans_rollback();<br> throw new Exception('更新失败');<br>}<br>$this->db->trans_commit();` |
| 🟠 警告 | `Ahead_book_order_model.php`<br>`get_detail` 方法内 | **未初始化变量直接访问**：`$refund_admin` 仅在 `if (!empty($order_refund['_admin_id']))` 分支内定义，后续在 `foreach` 中访问 `$refund_admin['_name']` 时，若条件未满足将触发 `PHP Warning: Undefined variable`。 | 在方法开头初始化 `$refund_admin = [];`，或统一使用空合并运算符安全访问。 | `$refund_admin = []; // 初始化<br>...<br>$v['operator'] = $refund_admin['_name'] ?? '';` |
| 🟠 警告 | `Ahead_book_order_model.php`<br>全局第 3-4 行 | **类外部加载模型违反框架生命周期**：`$CI = &get_instance(); $CI->load->model('Simple_model');` 在类定义外执行，可能导致未初始化调用、内存泄漏或自动加载冲突。 | 移除全局加载，依赖框架自动加载或在构造函数中初始化父类依赖。 | `public function __construct() {<br> parent::__construct();<br> $this->load->model('Simple_model');<br>}` |
| 🟠 警告 | `Ahead_book_order_model.php`<br>多处方法内 | **方法内重复加载模型**：`$this->load->model()` 在 `get_list`、`get_detail` 中多次调用，增加 I/O 开销且违背单一职责。 | 将高频依赖模型统一移至 `__construct()` 中加载，或通过属性声明。 | `public function __construct() {<br> parent::__construct();<br> $this->load->model(['ahead_user_model', 'ahead_book_model', 'ahead_yc_order_model']);<br>}` |
| 🟡 建议 | `Ahead_book_order_model.php`<br>全局/方法签名 | **缺乏类型声明与规范不一致**：混合使用 `array()` 与 `[]`，无参数/返回值类型提示，不符合 PSR-12 与现代 PHP (7.4+) 规范。 | 统一短数组语法，补充类型声明，提升可读性与静态分析能力。 | `public function get_list(array $where, int $page = 0, int $page_size = 0): array` |
| 🟡 建议 | `Ahead_book_order_model.php`<br>`refund` 方法 | **依赖全局函数破坏封装**：`throwError()` 与 `bookOrderRefund()` 为全局函数，难以进行单元测试、异常追踪与依赖替换。 | 改用 `throw new \RuntimeException()`，将退款逻辑抽离为独立 Service 类。 | `if (empty($result['status'])) {<br> throw new \RuntimeException($result['msg'] ?? '退款失败');<br>}` |
| 🟡 建议 | `main.js` (前端文件) | **全局挂载非标准 Vue 实践**：将 `Vue.ctUrl`、`Vue.accMul` 等直接挂载到 Vue 构造函数，易造成全局污染且不符合 Vue 2/3 官方推荐。 | 使用 `Vue.prototype.$xxx` (Vue2) 或封装为独立工具模块按需引入。 | `Vue.prototype.$accMul = function(arg1, arg2) { ... };` |
## 3. 总结与行动建议
### 🔑 优先修复的关键问题
1. **消除 N+1 查询**：`get_list` 中的循环查库与写库是性能杀手。务必改为 `JOIN` 查询或批量 `WHERE IN` 处理，预计可将列表接口响应时间降低 60%~80%。
2. **补充数据库事务**：所有涉及金额计算、状态流转、多表更新的逻辑（`update_book_mobile`、`refund`）必须包裹在 `$this->db->trans_start()` 与 `$this->db->trans_commit()` 中，防止资金/订单数据不一致。
3. **修复未定义变量警告**：`get_detail` 中的 `$refund_admin` 需提前初始化，避免生产环境日志污染及潜在逻辑中断。
### 🛠 后续重构与优化方向
- **架构分层优化**：将 `bookOrderRefund` 等全局业务逻辑迁移至独立的 `Service` 层（如 `application/services/RefundService.php`），Model 仅负责数据存取，Controller 负责流程编排，提升可测试性与可维护性。
- **规范与现代化**：全面启用 `declare(strict_types=1);`，为所有方法补充参数与返回值类型声明。统一使用 `[]` 数组语法，遵循 PSR-12 缩进与命名规范。
- **前端工程化**：`main.js` 中的全局工具函数建议抽离至 `src/utils/` 目录，通过 `import` 按需引入或使用 Vue 插件机制注册，避免全局命名空间污染。
- **安全加固**：虽然当前未发现直接注入点，但建议对 `$where` 传入参数进行严格白名单校验；敏感字段（如手机号、支付金额）在日志输出时应脱敏处理。
> 若需针对 `phpci` 框架的特定组件（如自定义 ORM、缓存驱动或路由机制）进行深度适配审查，请提供框架核心加载文件或官方文档链接，我将进一步补充针对性建议。
---
*此 Issue 由代码审查服务自动创建*...
|
0
|
0
|
0
|
0
|
0
|
|
0
|
1779154969
|
1779154969
|
0
|
0
|
0
|
0
|
Edit
Delete
|
|
374
|
21
|
114
|
1
|
|
0
|
🔍 代码审查报告：pay-260519 - 1
|
## 自动代码审查报告
**分支**: pay-260519
**提交**: `f60da7484 ## 自动代码审查报告
**分支**: pay-260519
**提交**: `f60da748498cde8057bf3eb5a1f033392744a180`
**提交人**: LITTLEMAIDI (11833999+littlemaidi@user.noreply.gitee.com)
**时间**: 2026-05-27 16:28:55
---
## 1. 审查摘要
- **代码质量评分**：5/10 分
- **总体评价**：该模型承载了极其复杂的预订时间计算与业务规则判断，逻辑耦合度高。存在多处架构设计缺陷（如顶部全局实例调用、静态属性滥用、巨型方法）、潜在运行时崩溃风险（空数组展开）以及明显的代码重复。整体可维护性、测试性与安全性较弱，需系统性重构。
- **风险等级**：🔴 高
## 2. 问题详情
| 严重程度 | 文件/行号 | 问题描述 | 建议修改方案 | 代码示例 (可选) |
| :--- | :--- | :--- | :--- | :--- |
| 🔴 严重 | 文件顶部 (第2行) | 在类外部直接调用 `$CI = &get_instance();`。在 PHP 请求生命周期中，框架实例尚未初始化或已销毁，会导致 `Fatal Error` 或不可预期的行为。 | 删除顶部全局调用。在类内部统一使用 `$this->load->model()` / `$this->load->library()` 加载依赖。 | `// 删除: $CI = &get_instance();`<br>`// 改为在方法内使用: $this->load->model('Simple_model');` |
| 🔴 严重 | `get_book_day_time_info` 方法内 | `array_intersect(...array_values($all_room_book_time))` 当 `$all_room_book_time` 为空数组时，展开运算符 `...` 会传递 0 个参数，触发 `ArgumentCountError` 致命错误。 | 增加数组长度校验，或使用 `call_user_func_array` 安全调用。 | `if (count($all_room_book_time) > 1) {<br> $un_book_time = array_intersect(...array_values($all_room_book_time));<br>} elseif (count($all_room_book_time) === 1) {<br> $un_book_time = reset($all_room_book_time);<br>}` |
| 🔴 严重 | 多处 (`self::$book_days_info` 等) | 滥用 `public static` 属性作为请求级缓存。在 PHP-FPM、Swoole 或常驻内存环境中会导致**数据串扰**与**内存泄漏**，且严重破坏单元测试的隔离性。 | 移除静态缓存。改用框架 Cache 组件（如 Redis/Memcached）或依赖注入容器管理请求级状态。 | `// 移除 public static $book_days_info = [];`<br>`// 改用: $cache_key = "book_days:{$merchant_id}:{$shop_id}";`<br>`$result = $this->cache->get($cache_key);` |
| 🟠 警告 | `set_shop_config()` & `set_room_info()` | 两个方法存在约 80% 的重复逻辑（场景前缀计算、配置加载、分钟单位换算），违反 DRY 原则，后期维护极易遗漏同步。 | 提取私有方法 `_get_scene_prefix()` 与 `_apply_shop_config()` 统一处理配置加载。 | `private function _get_scene_prefix(string $scene): string {<br> return match($scene) {<br> '2' => 'billiards_',<br> '3' => 'card_',<br> '4' => 'tavern_',<br> default => ''<br> };<br>}` |
| 🟠 警告 | `get_book_day_time_info()` | 方法超过 300 行，混合了数据查询、时间区间计算、状态标记、套餐规则校验、营业时间过滤等，违反单一职责原则(SRP)，极难调试与测试。 | 拆分为独立方法：`_fetch_booking_data()`, `_calculate_time_slots()`, `_apply_package_rules()`, `_filter_by_business_hours()`。 | 建议将时间区间交集判断封装为独立工具类 `TimeRangeCalculator::hasOverlap($a, $b)`。 |
| 🟠 警告 | 多处 `$params['key']` | 直接访问 `$params` 数组键未做存在性检查，当外部传入缺失字段时会触发 `Undefined index` 警告，可能导致逻辑分支异常。 | 使用空值合并运算符 `??` 或提前进行参数校验。 | `$date = $params['date'] ?? '';`<br>`$book_model = $params['book_model'] ?? '1';` |
| 🟡 建议 | 全局 | 大量硬编码魔法值（如 `'1'`, `'2'`, `'-1'`, `'merchantApp'`, `'7'`）散落在业务逻辑中，可读性差且易出错。 | 定义类常量或枚举类集中管理。 | `const SCENE_KTV = '1';`<br>`const SCENE_BILLIARDS = '2';`<br>`const STATUS_AVAILABLE = '1';` |
| 🟡 建议 | 全局 | 缺乏现代 PHP 类型声明（参数类型、返回值类型、属性可见性），不符合 PSR-12 及 PHP 8+ 最佳实践。 | 为所有公开方法添加类型提示，明确属性可见性（`protected`/`private`）。 | `public function get_book_days_info(int $merchant_id, int $shop_id, string $check_date = '', bool $add_day = false): array` |
| 🟡 建议 | 时间处理逻辑 | 依赖 `date()` 和 `strtotime()` 未显式指定时区，在多租户或跨时区部署时极易产生“差一天/差一小时”的边界 Bug。 | 统一使用 `DateTimeImmutable` 或框架时区配置，避免隐式时区转换。 | `$dt = new DateTimeImmutable($date, new DateTimeZone('Asia/Shanghai'));` |
## 3. 总结与行动建议
### 🔑 优先修复的关键问题
1. **移除顶部 `$CI = &get_instance();`**：这是导致应用启动崩溃或状态污染的根源。所有框架实例访问必须收敛至类方法内部。
2. **修复 `array_intersect` 空数组展开崩溃**：在调用前增加 `count() > 1` 判断，避免生产环境 500 错误。
3. **废弃 `public static` 缓存**：立即替换为框架 Cache 组件或请求级单例模式，防止持久化进程下的数据串扰与内存泄漏。
4. **补充 `$params` 参数校验**：在方法入口处统一校验必填字段，使用 `??` 提供安全默认值，阻断 `Undefined index` 传播。
### 🛠 后续重构与优化方向
- **架构拆分**：将 `get_book_day_time_info` 拆分为“数据获取层”、“时间计算层”、“规则过滤层”。建议引入策略模式处理不同预订模型（时长预订 vs 套餐预订）的差异逻辑。
- **配置加载优化**：当前多次调用 `get_shop_setting` 获取不同配置项，建议改为批量查询或一次性加载门店配置到内存数组中，减少数据库 I/O。
- **时间区间计算标准化**：当前大量使用 `array_intersect`、`shiftTimeRange`、`mergeTimeRanges` 等自定义函数处理时间交集。建议引入成熟的时间区间处理库（如 `spatie/period`）或封装独立的 `TimeSlotManager` 类，提升边界条件（跨天、重叠、包含）的准确性。
- **规范与静态分析**：全面对齐 PSR-12 规范，补充 PHPDoc 与类型声明。建议接入 `PHPStan` 或 `Psalm` 进行静态代码分析，提前捕获类型不匹配与未定义变量问题。
- **框架适配说明**：代码结构高度类似 CodeIgniter 3。若 `phpci` 为内部定制框架，请查阅其官方文档确认 `get_instance()` 的生命周期与模型加载规范。但无论何种框架，**模型层不应承担视图/控制器职责**，且应严格遵循依赖注入或标准加载器模式。
> 💡 **提示**：由于未提供 `Simple_model` 父类实现及外部辅助函数（如 `throwError`, `mergeTimeRanges` 等）的定义，本次审查主要聚焦于当前文件可见的逻辑与架构问题。建议在完整上下文中补充单元测试，重点覆盖跨天预订、套餐时长不足、营业时间边界等核心场景。
---
*此 Issue 由代码审查服务自动创建*...
|
0
|
0
|
0
|
0
|
0
|
|
0
|
1779870535
|
1779870535
|
0
|
0
|
0
|
0
|
Edit
Delete
|
|
826
|
22
|
114
|
1
|
|
0
|
激活判断其他门店的错误提示语
|
|
0
|
0
|
1
|
1
|
0
|
|
0
|
1791868409
|
1791868415
|
1791868415
|
0
|
0
|
0
|
Edit
Delete
|
|
163
|
18
|
113
|
1
|
|
0
|
🔍 代码审查报告：pc - Merge pull request '合并0519最新' 🔍 代码审查报告：pc - Merge pull request '合并0519最新' (#111) from pc-26051...
|
## 自动代码审查报告
**分支**: pc
**提交**: `cf63e3da1114aa4af ## 自动代码审查报告
**分支**: pc
**提交**: `cf63e3da1114aa4af755cbe9dc0f5263d88e0075`
**提交人**: zhangjunnan (121158035@qq.com)
**时间**: 2026-05-19 09:42:07
---
## 1. 审查摘要
- **代码质量评分**：5.5 / 10 分
- **总体评价**：代码实现了预订单列表、详情与退款的基础业务逻辑，但存在**致命 SQL 语法错误**、**循环内数据库操作（N+1 查询）**、**资金操作缺乏事务保护**等严重问题。前端入口文件存在硬编码测试地址与 Axios 配置隐患。整体架构偏向“过程式”堆砌，未充分利用框架生命周期与面向对象设计原则，需进行结构性优化。
- **风险等级**：🔴 高（涉及资金退款、数据一致性、SQL 报错阻断）
---
## 2. 问题详情
| 严重程度 | 文件/行号 | 问题描述 | 建议修改方案 | 代码示例 (可选) |
| :--- | :--- | :--- | :--- | :--- |
| 🔴 严重 | `Ahead_book_order_model.php` ~L28 | `get_list` 的 `$fields` 中使用了表别名 `e` (`e._bill_no`, `e._status`)，但 `$where['join']` 中未定义 `e` 表的关联条件，执行时将直接抛出 SQL 语法错误。 | 补充 `e` 表的 `JOIN` 条件，或移除未关联的字段。若 `e` 表为订单主表，需确认关联键。 | `$where['join'][] = ['your_order_table e', 'a._id=e._book_order_id', 'left'];` |
| 🔴 严重 | `Ahead_book_order_model.php` ~L48 | `get_list` 循环内执行 `ahead_user_model->get_one()` 与 `update_book_mobile()`。分页数据量大时将引发 **N+1 查询风暴**，且更新操作无事务保护，极易导致数据库连接耗尽与数据不一致。 | 改为**批量查询**获取手机号，更新操作移至循环外或使用事务包裹。避免在查询方法中执行写操作。 | 见下方 `3. 总结与行动建议` 中的重构示例 |
| 🟠 警告 | `Ahead_book_order_model.php` ~L108 | `get_detail` 中 `$refund_admin` 仅在 `if (!empty($order_refund['_admin_id']))` 内赋值，但在后续 `foreach` 中直接使用。若条件不满足，PHP 8+ 将抛出 `Undefined variable` 致命错误。 | 在循环前初始化变量，或使用空合并运算符安全访问。 | `$refund_admin = $refund_admin ?? [];`<br>`$v['operator'] = $refund_admin['_name'] ?? '';` |
| 🟠 警告 | `Ahead_book_order_model.php` ~L1-L3 | 文件顶部直接使用 `$CI = &get_instance();` 加载模型。该代码会在**每次 HTTP 请求时执行**（即使未实例化该模型），严重浪费资源且违反框架生命周期规范。 | 移除顶部代码，将依赖加载移至 `__construct()` 中，或交由框架自动加载机制处理。 | `public function __construct() { parent::__construct(); $this->load->model('Simple_model'); }` |
| 🟠 警告 | `Ahead_book_order_model.php` ~L138 | `refund` 方法直接调用全局函数 `bookOrderRefund()`，未使用数据库事务。若退款接口调用成功但本地状态更新失败，将导致**资金与订单状态不一致**。 | 使用框架事务机制包裹核心逻辑，并增加 `try-catch` 异常捕获。 | `$this->db->trans_start();`<br>`// 业务逻辑`<br>`$this->db->trans_complete();` |
| 🟡 建议 | `Ahead_book_order_model.php` ~L15 | `$book_status` 键为字符串 `'-1'`，而数据库返回的 `status` 通常为整型。PHP 弱类型虽可隐式匹配，但易引发类型混淆与静态分析警告。 | 统一使用整型键，或在映射时显式转换类型。 | `public $book_status = [-1 => '已作废', 1 => '未使用', 2 => '已使用'];` |
| 🟡 建议 | `main.js` ~L10 | 硬编码测试环境 URL `https://test-pc.g-hi.com/pc-260331/`，未做环境隔离。发布生产环境时极易导致请求错乱或敏感测试接口暴露。 | 使用构建工具环境变量（如 `process.env.VUE_APP_BASE_URL`）动态注入。 | `Vue.ctUrl = process.env.VUE_APP_BASE_URL || window.location.origin;` |
| 🟡 建议 | `main.js` ~L68 | `axios.defaults.transformRequest` 强制 `JSON.stringify(data)`，未判断数据类型。若组件提交 `FormData`（如文件上传），序列化将导致请求失败。 | 增加类型守卫，仅对普通对象进行序列化。 | `if (data instanceof FormData) return data; return JSON.stringify(data);` |
---
## 3. 总结与行动建议
### 🚨 优先修复的关键问题
1. **修复 SQL 报错**：立即补充 `get_list` 中缺失的 `e` 表 `JOIN` 条件，否则该接口将直接 500 报错。
2. **消除 N+1 查询与循环写操作**：`get_list` 中的手机号补全逻辑必须改为批量查询。模型层原则上**不应包含写操作**，建议将 `update_book_mobile` 移至 Service 层或 Controller 层，并配合定时任务/异步队列处理数据清洗。
3. **资金操作事务化**：`refund` 与 `update_book_mobile` 涉及多表更新与外部退款接口调用，必须使用 `$this->db->trans_start()` / `$this->db->trans_complete()` 确保原子性，失败时自动回滚。
4. **清理全局反模式**：移除模型文件顶部的 `$CI = &get_instance();`，改用构造函数加载依赖，符合框架生命周期。
### 🛠 后续重构与优化方向
#### 🔹 PHP 后端重构示例（`get_list` 性能优化）
```php
public function get_list($where, $page = '', $page_size = '')
{
// 1. 补充缺失的 JOIN (假设 e 表为订单主表)
$where['join'][] = ['your_order_table e', 'a._id=e._book_order_id', 'left'];
// ... 原有查询逻辑 ...
$order_info = $this->select($where, $fields, '_use_status ASC,_arrival_time DESC', $page, $page_size);
if (empty($order_info)) return [];
// 2. 批量获取缺失手机号的用户 (避免循环查库)
$missing_user_ids = [];
foreach ($order_info as $v) {
if (empty($v['book_mobile'])) {
$missing_user_ids[] = $v['ahead_user_id'];
}
}
$user_map = [];
if (!empty($missing_user_ids)) {
// 假设 Simple_model 支持 IN 查询或需自行拼接
$users = $this->db->where_in('_id', array_unique($missing_user_ids))
->get('ahead_user')
->result_array();
foreach ($users as $u) {
$user_map[$u['_id']] = $u['_mobile'];
}
}
// 3. 数据映射与格式化
$pay_scene = ['5'=>'微信预订', '6'=>'会员app预订', '7'=>'员工预订', '8'=>'嗨赞app预订', '9'=>'嗨赞小程序预订', '10'=>'抖音小程序预订'];
foreach ($order_info as &$v) {
$v['use_status'] = $this->book_status[(int)$v['status']] ?? '';
$v['pay_scene'] = $pay_scene[(string)$v['pay_scene']] ?? '';
if ($v['refund_amount'] > 0) {
$v['actual_pay'] = number_format((float)$v['actual_pay'] - (float)$v['refund_amount'], 2, '.', '');
}
// 仅做数据填充，不在此处执行 UPDATE
if (empty($v['book_mobile']) && isset($user_map[$v['ahead_user_id']])) {
$v['book_mobile'] = $user_map[$v['ahead_user_id']];
}
}
unset($v);
return $order_info;
}
```
#### 🔹 架构与规范建议
- **模型职责单一化**：Model 仅负责数据读写，业务逻辑（如退款状态流转、手机号同步策略）应抽离至 `Service` 层。
- **统一异常处理**：避免使用全局 `throwError()`，建议抛出标准 `Exception` 或在 Controller 层统一捕获并返回 JSON 格式错误码。
- **前端配置解耦**：`main.js` 中的 `Vue.request_header` 全局状态易被意外篡改。建议改用 Axios 拦截器动态注入 Header，并移除全局 `Vue.timeoutfun` 的路由硬跳转逻辑。
- **框架适配说明**：当前代码结构高度符合 **CodeIgniter 3** 规范。若 `phpci` 为内部定制框架，请确认其是否支持 PSR-4 自动加载与依赖注入。若支持，建议逐步迁移至现代 PHP 标准（PHP 8.1+、类型声明、构造函数属性提升）。
> 💡 **注**：若需对 `Simple_model` 的底层实现、`bookOrderRefund` 全局函数或数据库表结构进行深度审查，请提供相关代码片段，以便进一步评估事务边界与数据一致性策略。
---
*此 Issue 由代码审查服务自动创建*...
|
0
|
0
|
0
|
0
|
0
|
|
0
|
1779154927
|
1779154927
|
0
|
0
|
0
|
0
|
Edit
Delete
|
|
372
|
21
|
113
|
1
|
|
0
|
🔍 代码审查报告：pay-260519 - 1
|
## 自动代码审查报告
**分支**: pay-260519
**提交**: `ccc72448c ## 自动代码审查报告
**分支**: pay-260519
**提交**: `ccc72448c881e39cebbc23ef0bd26770da488063`
**提交人**: LITTLEMAIDI (11833999+littlemaidi@user.noreply.gitee.com)
**时间**: 2026-05-27 16:20:13
---
## 1. 审查摘要
- **代码质量评分**：5.5 / 10 分
- **总体评价**：该文件为典型的业务核心计价与订单组装类，承载了商品/套餐价格计算、VIP折扣、服务费、优惠券抵扣等复杂逻辑。整体功能完整，但存在**严重的方法臃肿、重复代码、遗留调试输出、潜在SQL注入及金额精度风险**。代码结构偏向过程式，未充分利用面向对象设计原则，且多处违反现代 PHP 与 CI3 最佳实践。
- **风险等级**：🔴 高（存在破坏 API 响应、数据覆盖、SQL 注入及金额计算偏差风险）
> 📌 **框架说明**：从 `defined('BASEPATH')`、`get_instance()`、目录结构及加载方式判断，该项目实际使用的是 **CodeIgniter 3** 框架，而非 `phpci`（phpci 为 CI/CD 持续集成工具）。以下审查基于 CI3 架构与 PSR-12 规范进行。
## 2. 问题详情
| 严重程度 | 文件/行号 | 问题描述 | 建议修改方案 | 代码示例 (可选) |
| :--- | :--- | :--- | :--- | :--- |
| 🔴 严重 | ~L388 | 遗留调试代码 `echo $vip_upgrade_data_actual_pay;` 会直接输出到响应流，破坏 JSON/XML 结构，导致前端解析崩溃。 | 立即删除该 `echo`。生产环境严禁使用 `echo`/`print_r`/`var_dump`，应使用日志组件记录。 | `// 删除此行，如需记录请使用：log_message('debug', 'Upgrade pay: ' . $vip_upgrade_data_actual_pay);` |
| 🔴 严重 | ~L155 & L160 | 数组键 `$order['_prime_service_charge']` 被重复赋值，后者 `$service_charge` 覆盖前者，导致业务逻辑错乱。 | 明确业务意图，保留正确赋值，删除冗余行。 | `$order['_prime_service_charge'] = $service_charge; // 确认意图后仅保留一行` |
| 🔴 严重 | ~L248 | SQL 注入风险：`implode(",", $id_array['package_id'])` 直接拼接进 SQL 字符串传入模型。若 `$id_array` 含用户输入，将导致注入。 | 使用 CI3 Query Builder 的 `where_in()` 或参数绑定，严禁手动拼接 `IN` 条件。 | `$this->CI->db->where_in('_package_id', $id_array['package_id'])->get('wares_package_goods')->result_array();` |
| 🟠 警告 | 全文多处 | 模型重复加载：`$this->CI->load->model()` 在循环或方法内多次调用，增加不必要的 I/O 与内存开销。 | 将高频使用的模型统一在 `__construct()` 或方法顶部加载一次。 | `public function __construct() { $this->CI->load->model(['Ahead_merchant_goods_model', 'Ahead_vip_level_model', ...]); }` |
| 🟠 警告 | ~L100, L280 | 浮点数精度丢失：金额计算直接使用 `*`、`/` 和 `sprintf("%.2f")`，PHP 浮点运算易产生 `0.1+0.2=0.30000000000000004` 类偏差。 | 涉及财务计算统一转为“分”（整数运算）或使用 `bcmath` 扩展。 | `$actual_pay = bcmul($price, $quantity, 2); // 或使用 int 分单位计算后除以 100` |
| 🟠 警告 | ~L300 | 魔法数字泛滥：`-1`, `1`, `100`, `9999999999999` 等硬编码散落全文，状态含义不透明，维护成本高。 | 提取为类常量，使用语义化命名。 | `private const STATUS_DISABLED = -1; const MAX_REWARD_AMOUNT = 9999999999999; const DISCOUNT_RATE_BASE = 100;` |
| 🟡 建议 | ~L40 | `getOrderTypeInfo` 方法过长（>600行），嵌套深，违反单一职责原则（SRP），可读性与可测试性极差。 | 拆分为独立私有方法：`processGoodsOrder()`, `processPackageOrder()`, `calculateServiceCharge()`, `applyVipDiscount()` 等。 | 采用策略模式或提取子方法，将主方法控制在 50 行以内。 |
| 🟡 建议 | 全文 | 类名与属性不符合 PSR-12：`Neworderservice` 应为 `NewOrderService`；大量 `public` 属性暴露内部状态，易被外部误改。 | 遵循 PSR-12 命名规范；将属性改为 `private/protected`，通过构造函数或 Setter 注入必要参数。 | `class NewOrderService { private $room_id = 0; public function setRoomId(int $id): self { $this->room_id = $id; return $this; } }` |
| 🟡 建议 | ~L20 | `throwError()` 非 PHP 原生机制。若其内部调用 `exit/die`，将导致数据库事务无法回滚、中间件生命周期中断。 | 改用标准异常 `throw new \RuntimeException(...)`，确保上层可 `try-catch` 并安全回滚。 | `throw new \RuntimeException("商品已售完，请联系商家", 100);` |
## 3. 总结与行动建议
### 🔑 优先修复的关键问题
1. **立即移除 `echo` 调试输出**：防止线上 API 响应格式损坏。
2. **修复重复赋值逻辑**：确认 `$order['_prime_service_charge']` 与 `$result['service_charge']` 的正确业务含义，消除覆盖 Bug。
3. **修复 SQL 拼接隐患**：将 `implode` 拼接的 `IN` 查询替换为 CI3 的 `where_in()` 或预处理语句。
4. **统一异常处理机制**：将 `throwError` 替换为 `throw new \Exception()`，确保事务与框架生命周期可正常回滚。
### 🛠 后续重构与优化方向
1. **方法拆分与职责分离**：`getOrderTypeInfo` 承载了太多职责。建议按订单类型（商品/套餐/开房）拆分为独立处理器，或引入**策略模式**（`OrderTypeStrategy`）动态路由计算逻辑。
2. **财务计算规范化**：引入 `Money` 值对象或使用 `bcmath`/整数分单位进行所有金额运算，避免浮点精度漂移导致的对账差异。
3. **依赖注入与模型预加载**：在 `__construct` 中集中加载模型，避免运行时重复 `load->model()`。考虑逐步向 CI4 或现代 PHP 的依赖注入容器过渡。
4. **常量与枚举替代魔法值**：将状态码（如 `-1` 禁用、`1` 启用、`100` 折扣基数）定义为 `const` 或 PHP 8.1+ `enum`，提升代码自解释性。
5. **单元测试覆盖**：该计价逻辑复杂度高，强烈建议补充 PHPUnit 测试用例，覆盖 VIP 折扣边界、服务费计算、优惠券叠加、免单逻辑等核心分支。
> ⚠️ **局限性说明**：您提供的代码在 `$result['have_good` 处被截断，未能完整展示方法结尾及后续逻辑。若截断部分包含事务提交、数据库写入或关键返回逻辑，请补充完整代码以便进行闭环审查。
---
*此 Issue 由代码审查服务自动创建*...
|
0
|
0
|
0
|
0
|
0
|
|
0
|
1779870013
|
1779870013
|
0
|
0
|
0
|
0
|
Edit
Delete
|
|
800
|
22
|
113
|
1
|
|
0
|
营业状态
|
|
0
|
0
|
1
|
1
|
0
|
|
0
|
1790070519
|
1790070525
|
1790070525
|
0
|
0
|
0
|
Edit
Delete
|
|
161
|
18
|
112
|
1
|
|
0
|
合并0519最新
|
|
0
|
0
|
1
|
1
|
0
|
|
0
|
1779154837
|
1781141876
|
1779154849
|
0
|
0
|
0
|
Edit
Delete
|
|
368
|
21
|
112
|
1
|
|
0
|
🔍 代码审查报告：pay-260519 - 1
|
## 自动代码审查报告
**分支**: pay-260519
**提交**: `957cbb6a7 ## 自动代码审查报告
**分支**: pay-260519
**提交**: `957cbb6a73dfead2972a3f1e02720cb6c81d94bc`
**提交人**: LITTLEMAIDI (11833999+littlemaidi@user.noreply.gitee.com)
**时间**: 2026-05-27 16:18:07
---
## 1. 审查摘要
- **代码质量评分**：5.5 / 10 分
- **总体评价**：业务逻辑覆盖全面，能处理多场景（KTV/台球/棋牌/酒馆）、套餐规则、跨天营业等复杂预订需求。但代码存在严重的架构设计缺陷：静态缓存未隔离租户、直接污染全局 `$CI` 实例、核心方法严重违反单一职责原则。时间处理依赖大量字符串拼接与未定义的辅助函数，可维护性与可测试性较低。
- **风险等级**：🔴 高
> 📌 **框架说明**：根据目录结构、`get_instance()`、`$this->load->model()` 等特征，该代码实际基于 **CodeIgniter 3** 架构。若 `phpci` 为内部定制框架，请对照其官方文档调整。以下审查基于 CI3 最佳实践与现代 PHP 规范。
## 2. 问题详情
| 严重程度 | 文件/行号 | 问题描述 | 建议修改方案 | 代码示例 (可选) |
| :--- | :--- | :--- | :--- | :--- |
| 🔴 严重 | 静态属性/缓存 | `self::$book_days_info`、`self::$shop_data` 等静态缓存未区分 `merchant_id` 与 `shop_id`。在多租户/多门店并发或长连接环境下，会导致严重的数据串扰与越权访问。 | 为静态缓存增加复合键，或改用 CI Cache/Redis 驱动，并设置合理 TTL。避免在 Model 中使用无状态隔离的静态变量。 | `private static $cache = [];`<br>`$key = md5($merchant_id . '_' . $shop_id . '_' . $date);`<br>`if (isset(self::$cache[$key])) return self::$cache[$key];`<br>`self::$cache[$key] = $result;` |
| 🔴 严重 | 多处 | 直接修改全局 `$CI` 实例属性（如 `$CI->operational_scene`、`$CI->package_not_available_time`、`$CI->change_book_order_id`）。破坏框架请求隔离机制，极易引发并发状态污染与难以追踪的隐蔽 Bug。 | 严禁修改 `$CI` 全局状态。应通过类属性、方法返回值、Session 或 Config 传递上下文数据。 | 移除 `$CI->xxx = ...`，改为 `$this->operational_scene = $scene;` 或作为参数/返回值传递。 |
| 🔴 严重 | `get_book_day_time_info` | 方法超 300 行，混合了配置加载、时间区间计算、多规则校验（套餐/锁定/营业/清扫）、数据格式化。严重违反单一职责原则(SRP)，无法进行单元测试，后期维护成本极高。 | 拆分为独立私有方法，或抽离为 `BookingTimeCalculator` 服务类。按职责分层：配置获取 → 基础时间生成 → 规则过滤 → 结果组装。 | 见下方【重构方向】建议。 |
| 🟠 警告 | 多处 | 大量使用硬编码魔法值（如 `'1'`, `'2'`, `'merchantApp'`, `'-1'`, `'7'`），缺乏语义化常量。业务逻辑变更时极易遗漏或误改。 | 定义类常量或全局配置常量，提升代码可读性与安全性。 | `const SCENE_KTV = '1'; const SCENE_BILLIARDS = '2';`<br>`const STATUS_AVAILABLE = '1'; const STATUS_UNAVAILABLE = '-1';` |
| 🟠 警告 | `_get_un_book_time` 及循环内 | 频繁调用 `get_shop_setting()` 获取配置，未做批量查询或内存缓存。在复杂请求链路中易引发 N+1 查询与数据库性能瓶颈。 | 在方法入口一次性批量获取所需配置，或使用 CI Cache 缓存门店配置项。 | `$keys = ['book_minute_unit', 'book_hour_options', ...];`<br>`$configs = $this->ahead_shop_config_second_model->get_batch_settings($mid, $sid, $keys);` |
| 🟠 警告 | `array_intersect(...)` | `array_intersect(...array_values($all_room_book_time))` 在数组为空或仅含一个元素时，PHP 会抛出 `Warning`，且解包逻辑不符合预期。 | 增加数组长度安全判断，或使用循环计算交集。 | `if (count($all_room_book_time) > 1) { $un_book_time = array_intersect(...array_values($all_room_book_time)); } else { $un_book_time = $all_room_book_time[0] ?? []; }` |
| 🟡 建议 | 全局 | 未遵循 PSR-12 规范：缺少严格类型声明、属性可见性不统一、注释不完整、行过长。部分辅助函数（如 `timeToHour`, `shiftTimeRange`）未提供定义，难以评估其边界行为。 | 补充 `declare(strict_types=1);`，为方法参数/返回值添加类型提示，统一使用 `private/protected` 属性，完善 PHPDoc。 | `public function get_book_days_info(int $merchant_id, int $shop_id, string $check_date = '', bool $add_day = false): array` |
| 🟡 建议 | 时间处理 | 依赖大量自定义辅助函数与字符串拼接处理时间，缺乏时区控制与 `DateTimeImmutable` 对象封装。跨天、24小时制、边界分钟计算易出现逻辑漏洞。 | 引入 `DateTimeImmutable` 或专用时间区间 Value Object 替代字符串操作，提升类型安全与可读性。 | 建议使用 `Carbon` 或原生 `DateTimeImmutable` 进行区间计算，避免 `strtotime` + 字符串拼接。 |
## 3. 总结与行动建议
### 🔑 优先修复的关键问题
1. **隔离静态缓存**：立即为所有 `self::$xxx` 静态属性添加 `merchant_id` + `shop_id` + `date` 的复合键，或彻底移除静态缓存改用 CI Cache/Redis，杜绝多租户数据串扰。
2. **清除全局 `$CI` 污染**：全面排查并移除 `$CI->xxx = ...` 赋值操作。将上下文数据改为通过方法参数传递或封装在类实例属性中。
3. **拆分超长方法**：将 `get_book_day_time_info` 拆分为至少 4 个独立步骤：
- `loadBookingConfig()`：加载门店与场景配置
- `generateBaseTimeSlots()`：生成基础时间轴
- `applyBookingRules()`：应用套餐、锁定、清扫、营业规则过滤
- `formatTimeSlots()`：组装最终返回结构
### 🛠 后续重构与优化方向
- **引入策略模式**：不同场景（KTV/台球/棋牌/酒馆）的预订规则差异较大，建议定义 `BookingRuleInterface`，按场景注入对应策略类，替代冗长的 `if/elseif` 分支。
- **时间区间对象化**：创建 `TimeRange` 值对象，封装 `start`, `end`, `isOverlap()`, `merge()`, `shift()` 等方法，彻底替代当前散落的字符串与数组操作。
- **完善输入校验**：对 `$params` 数组进行严格类型校验与白名单过滤，避免未定义键导致 `Undefined index` 警告或逻辑跳过。
- **补充单元测试**：核心时间计算逻辑必须覆盖边界用例（如跨天 23:55-00:05、24小时营业、套餐时长不足、并发锁定等），建议引入 `PHPUnit` 建立测试基线。
> ⚠️ **局限性说明**：您提供的代码片段在 `_get_un_book_time` 方法末尾被截断，无法完整评估次日时间计算、清扫逻辑闭环及最终返回结构。建议补充完整文件后再次提交审查。
---
*此 Issue 由代码审查服务自动创建*...
|
0
|
0
|
0
|
0
|
0
|
|
0
|
1779869887
|
1779869887
|
0
|
0
|
0
|
0
|
Edit
Delete
|
|
799
|
22
|
112
|
1
|
|
0
|
需求 安全巡检 16865
|
|
0
|
0
|
1
|
1
|
0
|
|
0
|
1790070503
|
1790070509
|
1790070509
|
0
|
0
|
0
|
Edit
Delete
|
|
159
|
18
|
111
|
1
|
|
0
|
合并0519最新
|
|
0
|
0
|
1
|
1
|
0
|
|
0
|
1779154781
|
1779154927
|
1779154789
|
0
|
0
|
0
|
Edit
Delete
|
|
367
|
21
|
111
|
1
|
|
0
|
🔍 代码审查报告：pay-260519 - 1
|
## 自动代码审查报告
**分支**: pay-260519
**提交**: `58b9c6915 ## 自动代码审查报告
**分支**: pay-260519
**提交**: `58b9c6915931a7b047a3cba8208be79183192a18`
**提交人**: LITTLEMAIDI (11833999+littlemaidi@user.noreply.gitee.com)
**时间**: 2026-05-27 16:14:28
---
## 1. 审查摘要
- **代码质量评分**：4 / 10 分
- **总体评价**：该类承担了订单创建、价格计算、会员折扣、优惠券匹配、服务费核算等核心业务，逻辑复杂度高。但实现方式较为陈旧，存在**SQL注入隐患、浮点数精度丢失、关键变量重复覆盖**等严重问题。方法体过长（超600行），严重违反单一职责原则，可维护性与扩展性较差。
- **风险等级**：🔴 高
- **⚠️ 局限性说明**：提交代码在 `$result['have_good` 处截断，本次审查仅基于可见部分。若截断处包含关键事务提交或状态更新逻辑，请补充后复核。
---
## 2. 问题详情
| 严重程度 | 文件/行号 | 问题描述 | 建议修改方案 | 代码示例 (可选) |
| :--- | :--- | :--- | :--- | :--- |
| 🔴 严重 | `getOrderTypeInfo` 约 L240 | **SQL 注入风险**：使用 `implode` 拼接 `IN` 查询条件 `$pack_goods_where = "... in (" . implode(",", $id_array['package_id']) . ")"`，未对 `$id_array['package_id']` 进行类型过滤或参数绑定。 | 严格使用框架查询构建器的 `where_in` 方法，或对输入数组进行强制整型转换。 | `$ids = array_map('intval', $id_array['package_id']);`<br>`$this->CI->db->where_in('wares_package._package_id', $ids);` |
| 🔴 严重 | 全文多处 | **金额计算精度丢失**：直接使用浮点数进行货币乘除（如 `$goods['_cost_price'] * $quantity`），PHP 浮点运算会导致 `0.1+0.2=0.30000000000000004` 类问题，极易引发财务对账差异。 | 财务计算必须使用 `bcmath` 扩展函数，或统一转换为“分”为单位的整数运算。 | `bcmul($price, $quantity, 2)`<br>或 `$price_cents = (int)round($price * 100);` |
| 🔴 严重 | `getOrderTypeInfo` 约 L330 | **逻辑覆盖/冗余赋值**：`$order['_prime_service_charge']` 被连续赋值两次，后者直接覆盖前者，导致前置计算结果丢失，业务逻辑错误。 | 删除重复赋值行，明确业务意图。若需区分“折前”与“折后”服务费，应使用不同键名。 | 移除 `$order['_prime_service_charge'] = $service_charge;` 或改为 `$order['_final_service_charge'] = $service_charge;` |
| 🟠 警告 | 全文多处 | **模型重复加载**：在方法内部多次调用 `$this->CI->load->model(...)`。虽然 CI 框架会缓存实例，但频繁调用增加解析开销且破坏代码整洁性。 | 将模型加载统一移至 `__construct()` 或方法顶部，按需使用。 | `// __construct 中统一加载`<br>`$this->CI->load->model(['Ahead_merchant_goods_model', 'Ahead_vip_level_model', ...]);` |
| 🟠 警告 | `_create_insert_infos_data` 等 | **静态属性访问不规范 & 重复计算**：通过实例访问静态属性 `$this->CI->Ahead_vip_level_model::VIP_LEVEL_DEFAULT_NAME`，且在多处重复调用 `count()`。PHP 8+ 已废弃此写法。 | 直接通过类名访问静态属性，并将结果缓存为类属性，避免重复计算。 | `private $vip_max_level;`<br>`// 构造时赋值`<br>`$this->vip_max_level = count(Ahead_vip_level_model::VIP_LEVEL_DEFAULT_NAME);` |
| 🟠 警告 | `getOrderTypeInfo` | **异常处理不规范**：使用全局函数 `throwError()` 中断流程，破坏面向对象封装，且无法被上层 `try-catch` 统一捕获，不利于事务回滚。 | 改用标准 `throw new \Exception()` 或自定义业务异常类，配合事务机制处理。 | `throw new \InvalidArgumentException("商品{$val['_goods_name']}已被禁用");` |
| 🟡 建议 | 类定义/方法名 | **命名不符合 PSR-12**：类名 `Neworderservice` 未使用大驼峰；方法 `rest_goods_price_by_un_vip` 存在拼写错误（应为 `reset`）；变量命名风格混杂。 | 遵循 PSR-12 规范：类名 `NewOrderService`，方法名 `resetGoodsPriceByUnVip`，属性使用小驼峰。 | `class NewOrderService { public function resetGoodsPriceByUnVip(...) }` |
| 🟡 建议 | `getOrderTypeInfo` | **方法过长/违反单一职责**：该方法超 600 行，混合了数据校验、价格计算、优惠券匹配、订单组装等逻辑，圈复杂度过高，极难测试与维护。 | 拆分为独立私有方法或策略类，如 `validateGoods()`, `calculatePrice()`, `applyDiscounts()`, `buildOrderData()`。 | 提取 `private function calculatePackagePrice(...)` 等方法，主方法仅负责流程编排。 |
---
## 3. 总结与行动建议
### 🔑 优先修复的关键问题
1. **立即修复 SQL 注入漏洞**：将 `implode` 拼接的 SQL 条件替换为框架查询构建器或严格类型过滤，防止恶意输入导致数据泄露或篡改。
2. **统一财务计算精度**：全局替换浮点数直接运算，引入 `bcmath` 或“分”单位整数计算，并在输出前统一格式化，确保财务数据绝对准确。
3. **修正重复赋值逻辑**：排查 `$order['_prime_service_charge']` 及 `$result['service_charge']` 的重复赋值问题，避免业务计算结果被意外覆盖。
### 🛠 后续重构与优化方向
1. **架构拆分（SRP 原则）**：
- 将 `getOrderTypeInfo` 拆分为：`校验层`（商品状态/库存/权限）、`计算层`（原价/会员价/折扣/服务费）、`组装层`（订单结构/明细）。
- 针对订单类型 `1/13` 与 `2/4`，建议引入 **策略模式（Strategy Pattern）**，将不同订单类型的计价逻辑抽离为独立类，消除庞大的 `switch-case`。
2. **依赖注入与模型管理**：
- 避免在业务方法中动态 `load->model()`，改为在构造函数中注入或统一加载。若 `phpci` 支持 DI 容器，建议通过容器解析模型依赖。
3. **异常与事务控制**：
- 使用 `try-catch` 包裹核心下单流程，结合数据库事务（`$this->CI->db->trans_start()` / `trans_complete()`），确保价格计算失败或库存校验不通过时能安全回滚。
4. **框架适配提示**：
> 基于代码特征（`defined('BASEPATH')`, `get_instance()`, `$this->CI->load->model()`），该代码高度符合 **CodeIgniter 3** 架构。若 `phpci` 为内部定制框架，请查阅其官方文档确认：
> - 查询构建器是否支持 `where_in` 参数绑定
> - 模型加载机制是否支持自动依赖注入
> - 全局异常处理钩子（`_exception_handler`）的配置方式
如需对截断部分或特定业务分支（如优惠券抵扣逻辑、会员升级推荐算法）进行深度审查，请提供完整代码片段。
---
*此 Issue 由代码审查服务自动创建*...
|
0
|
0
|
0
|
0
|
0
|
|
0
|
1779869668
|
1779869668
|
0
|
0
|
0
|
0
|
Edit
Delete
|
|
794
|
22
|
111
|
1
|
|
0
|
营业状态
|
|
0
|
0
|
1
|
1
|
0
|
|
0
|
1790066516
|
1790066522
|
1790066522
|
0
|
0
|
0
|
Edit
Delete
|
|
150
|
18
|
110
|
1
|
|
0
|
🔍 代码审查报告：pc-260519 - Merge branch 'pc-260519&# 🔍 代码审查报告：pc-260519 - Merge branch 'pc-260519' of https://gitea.g-hi.com...
|
## 自动代码审查报告
**分支**: pc-260519
**提交**: `3a80d3a04f ## 自动代码审查报告
**分支**: pc-260519
**提交**: `3a80d3a04f510aef0482b95fb96dbd891568bd19`
**提交人**: caihongyuchy (1091045324@qq.com)
**时间**: 2026-05-18 19:36:59
---
## 1. 审查摘要
- **代码质量评分**：5.5 / 10
- **总体评价**：代码实现了核心业务逻辑，但存在明显的架构反模式与性能瓶颈。PHP 模型层存在严重的 N+1 查询、事务缺失、输入参数副作用及框架生命周期误用；前端入口文件存在全局 Vue 对象污染问题。整体可维护性与生产环境稳定性需重点优化。
- **风险等级**：🔴 高
## 2. 问题详情
| 严重程度 | 文件/行号 | 问题描述 | 建议修改方案 | 代码示例 (可选) |
| :--- | :--- | :--- | :--- | :--- |
| 🔴 严重 | `Ahead_book_order_model.php` L1-L3 | 顶层使用 `$CI = &get_instance();` 违反 CI/phpci 框架生命周期。模型实例化时框架尚未完全初始化，易引发 `Undefined property` 或内存泄漏。 | 移除顶层代码。模型应继承基类，通过 `$this->load->model()` 或构造函数按需加载依赖。 | `public function __construct() { parent::__construct(); $this->load->model('Simple_model'); }` |
| 🔴 严重 | `Ahead_book_order_model.php` L58-L73 | `get_list` 循环内执行 `get_one` 与 `update_book_mobile`，引发典型的 **N+1 查询**与写放大。数据量 >100 时将严重拖垮数据库连接池。 | 收集缺失手机号的 `ahead_user_id`，使用 `WHERE IN` 批量查询；或使用 `JOIN` 在初始 SQL 中关联；批量更新或异步处理。 | 见下方 `🔧 性能优化示例` |
| 🔴 严重 | `Ahead_book_order_model.php` L88-L92 | `update_book_mobile` 连续更新两张表未使用数据库事务。若第二条 `ahead_book_model` 更新失败，将导致订单与主表手机号不一致。 | 使用框架事务机制包裹更新逻辑，失败时自动回滚。 | `$this->db->trans_start(); $this->update(...); $this->ahead_book_model->update(...); $this->db->trans_complete();` |
| 🟠 警告 | `Ahead_book_order_model.php` L38, L99 | 直接修改传入的 `$where` 数组（追加 `join`），产生**副作用**。若调用方复用该 `$where` 变量，将导致后续查询逻辑错乱。 | 内部深拷贝或新建配置数组，避免污染外部引用。 | `$local_where = $where; $local_where['join'][] = ...; $this->select($local_where, ...);` |
| 🟠 警告 | `Ahead_book_order_model.php` L22-L25 | `$book_status` 键定义为字符串 `'-1'`，但 `$v['status']` 通常为整型。PHP 8+ 严格类型或特定配置下可能匹配失败或触发 Notice。 | 统一键类型为整型，或在取值时显式转换 `(string)$v['status']`。 | `public $book_status = [-1 => '已作废', 1 => '未使用', 2 => '已使用'];` |
| 🟠 警告 | `main.js` L10-L21 | 直接挂载属性/方法到 `Vue` 构造函数（`Vue.ctUrl`, `Vue.accMul`），污染全局命名空间且不具备响应式特性，不利于组件复用与单元测试。 | 使用 `Vue.prototype.$xxx` 挂载实例方法，或抽离为独立 `utils.js` 模块。 | `Vue.prototype.$accMul = function(arg1, arg2) { ... };` |
| 🟡 建议 | `Ahead_book_order_model.php` L39-L41 | `$fields` 字符串过长且硬编码表别名，可读性差，易因拼写错误导致 SQL 异常。 | 使用数组拼接或 `sprintf`，明确字段归属，提升可维护性。 | `$fields = ['d._name as room_name', 'b._name as room_type', 'a._id as id'];` |
| 🟡 建议 | `Ahead_book_order_model.php` 全局 | 强依赖全局函数 `throwError()` 与 `bookOrderRefund()`，脱离框架上下文，不利于异常追踪、Mock 测试与权限拦截。 | 封装为 `Service` 类或 `Helper`，通过 `$this->load->helper()` 或依赖注入调用。 | `throw new \Exception('id不能为空', 400);` |
| 🟡 建议 | `main.js` L48-L50 | `axios.defaults.transformRequest` 全局强制 JSON 序列化。若后续业务需提交 `multipart/form-data`（如文件上传），将导致请求体损坏。 | 移除全局覆盖，仅在需要 JSON 的请求中单独配置，或使用 `qs` 库处理表单数据。 | `axios.post(url, data, { transformRequest: [d => JSON.stringify(d)] })` |
### 🔧 核心问题优化示例（N+1 查询修复）
```php
// 原逻辑：循环内查库
foreach ($order_info as &$v) {
if (empty($v['book_mobile'])) {
$user_data = $this->ahead_user_model->get_one(['_id' => $v['ahead_user_id']], '_mobile');
// ...
}
}
// 优化后：批量查询 + 映射
$missing_ids = array_unique(array_column(array_filter($order_info, fn($v) => empty($v['book_mobile'])), 'ahead_user_id'));
$mobile_map = [];
if (!empty($missing_ids)) {
$users = $this->ahead_user_model->get_list(['_id' => $missing_ids], '_id,_mobile');
$mobile_map = array_column($users, '_mobile', '_id');
}
foreach ($order_info as &$v) {
if (empty($v['book_mobile']) && isset($mobile_map[$v['ahead_user_id']])) {
$v['book_mobile'] = $mobile_map[$v['ahead_user_id']];
// 建议：将 update_book_mobile 移出循环，收集后批量更新或走消息队列异步处理
}
}
unset($v);
```
## 3. 总结与行动建议
### 🚨 优先修复项（P0）
1. **移除顶层 `$CI` 实例化**：严格遵循 phpci/CI 框架生命周期，将依赖加载移至 `__construct()` 或方法内部。
2. **消除 N+1 查询**：`get_list` 中的循环查库与写库是性能杀手，必须改为批量查询（`WHERE IN`）或 SQL `JOIN`。
3. **补充数据库事务**：`update_book_mobile` 涉及跨表状态同步，必须包裹在 `$this->db->trans_start()/trans_complete()` 中，确保 ACID 特性。
### 🛠 后续重构方向
1. **架构解耦**：将 `throwError`、`bookOrderRefund` 等全局函数迁移至 `application/services/` 或 `helpers/`，通过类方法调用，便于单元测试与权限/日志拦截。
2. **参数隔离**：所有传入的 `$where`、`$params` 数组应在方法首行进行浅拷贝或深拷贝，杜绝隐式副作用。
3. **前端工程化**：`main.js` 中的工具函数与全局配置应抽离至 `src/utils/` 与 `src/config/`，通过 Vue 插件（`Vue.use()`）或 `Vue.prototype` 注入，避免污染构造函数。
4. **规范统一**：全面启用 PSR-12 规范，统一使用短数组语法 `[]`，为公共方法补充 `@param`、`@return` 类型声明，长 SQL 字段建议拆分或使用 Query Builder 链式调用。
> 💡 **框架适配说明**：基于目录结构（`system/`, `application/`）与 `$CI = &get_instance()` 用法，推断 `phpci` 为 CodeIgniter 3 衍生框架。若 `phpci` 对模型加载、事务或查询构造器有特殊封装，请以官方文档为准，但上述 PHP 核心原则（事务、N+1、生命周期、副作用隔离）通用且必须遵守。
---
*此 Issue 由代码审查服务自动创建*...
|
0
|
0
|
0
|
0
|
0
|
|
0
|
1779104219
|
1779104219
|
0
|
0
|
0
|
0
|
Edit
Delete
|
|
366
|
21
|
110
|
1
|
|
0
|
🔍 代码审查报告：pay-260519 - 1
|
## 自动代码审查报告
**分支**: pay-260519
**提交**: `eb0f6c752 ## 自动代码审查报告
**分支**: pay-260519
**提交**: `eb0f6c752ec531d38f10fc74a1315f68591405a9`
**提交人**: LITTLEMAIDI (11833999+littlemaidi@user.noreply.gitee.com)
**时间**: 2026-05-27 16:10:04
---
## 1. 审查摘要
- **代码质量评分**：5.5 / 10 分
- **总体评价**：代码实现了复杂的业务逻辑（时段预订计算、评价发券、触摸屏设备交互），但存在明显的架构与安全缺陷。模型层承担了过多服务层与控制器职责，存在 SQL 注入隐患、`goto` 滥用、异常静默吞没、异步状态不同步等问题。整体耦合度高，可维护性与扩展性较弱。
- **风险等级**：🔴 高
## 2. 问题详情
| 严重程度 | 文件/行号 | 问题描述 | 建议修改方案 | 代码示例 (可选) |
| :--- | :--- | :--- | :--- | :--- |
| 🔴 严重 | `ScreenApi.php` / `case "2001"` | 使用 `goto famail_close;` 破坏控制流，且标签拼写为 `famail`（应为 `family`），极易引发逻辑跳跃与维护灾难。 | 提取关房后置逻辑为独立私有方法，使用条件分支或 `return` 替代 `goto`。 | `if ($family_data['_status'] == 1) { return $this->_handle_auto_close($family_data, $open_room_data); }` |
| 🔴 严重 | `Ahead_shop_comment_model.php` / `checkWriteable()` | `$this->db->where($openLogWhereStr)` 直接拼接外部参数 `$uniqueKey` 与 `$uid`，存在 SQL 注入风险。 | 使用 CI3 查询构造器或参数绑定，避免原生字符串拼接。 | `$this->db->where('_unique_key', $uniqueKey)->where("FIND_IN_SET($uid, _join_customer) > 0");` |
| 🔴 严重 | `ScreenApi.php` / `case "2001"` | `$upOpenLogStr` 直接拼接 `$cost` 到 SQL 更新语句中，违反安全编码规范，且易因类型转换引发语法错误。 | 使用 Query Builder 的 `set()` 方法，并强制类型转换。 | `$this->db->set('_unpaid_amount', '_unpaid_amount + ' . floatval($cost), FALSE)->update('table', $where);` |
| 🔴 严重 | `ScreenApi.php` / 文件头部 | `header("Access-Control-Allow-Origin:*");` 允许任意域名跨域，易被恶意站点利用发起 CSRF 或数据窃取。 | 根据业务需求配置可信域名白名单，或动态读取 `HTTP_ORIGIN` 校验后返回。 | `header("Access-Control-Allow-Origin: " . ($allowed_origin ?: 'https://yourdomain.com'));` |
| 🟠 警告 | `Ahead_shop_book_time_info_model.php` / `get_book_day_time_info()` | `array_intersect(...array_values($all_room_book_time))` 当数组元素不足 2 个时，PHP 8+ 会抛出 `ArgumentCountError` 致命错误。 | 增加数量校验，或使用兼容写法。 | `if (count($all_room_book_time) > 1) { $un_book_time = array_intersect(...array_values($all_room_book_time)); }` |
| 🟠 警告 | `Ahead_shop_comment_model.php` / `add_shop_comment()` | `catch (Exception $e)` 仅返回“评价失败”，未记录异常堆栈，导致线上故障无法定位。 | 捕获后写入日志，并返回脱敏提示。 | `log_message('error', '评价提交异常: ' . $e->getMessage()); return ['success'=>false, 'msg'=>'系统繁忙，请稍后重试'];` |
| 🟠 警告 | `service-receipt.js` / `addService()` | 图片上传为异步操作，但提交时直接读取 `this.data.imageList`，未等待上传完成，可能导致提交空数组或部分失败数据。 | 使用 `Promise.all` 聚合上传任务，全部成功后再调用提交接口。 | `Promise.all(uploadTasks).then(urls => this.submitComment(urls)).catch(err => wx.showToast({title:'上传失败'}))` |
| 🟠 警告 | `Ahead_shop_book_time_info_model.php` / 多处 | 频繁在方法内部调用 `$CI = &get_instance()`，且部分逻辑重复加载 Model。 | 在构造函数中统一获取并赋值给实例属性，后续直接复用。 | `protected $ci; public function __construct(){ parent::__construct(); $this->ci =& get_instance(); }` |
| 🟡 建议 | `ScreenApi.php` / 全局 | 控制器过于臃肿（God Object），`switch` 包含数百行业务逻辑，违反单一职责与开闭原则。 | 按功能域拆分为独立 Service 类，控制器仅负责路由分发、参数校验与响应格式化。 | 引入策略模式：`$handler = ScreenHandlerFactory::create($function); $handler->handle($params);` |
| 🟡 建议 | `Ahead_shop_book_time_info_model.php` / 多处 | 大量使用 `self::$xxx` 静态变量缓存数据。在长连接/CLI 环境下易导致内存泄漏或请求间数据污染。 | 改用实例属性缓存，或接入 Redis 等外部缓存并设置 TTL。 | `private $requestCache = [];` 替代 `public static $xxx = [];` |
| 🟡 建议 | 全局 | 代码风格未严格遵循 PSR-12（缩进不一致、大括号位置混用、命名规范不统一）。 | 配置 `PHP-CS-Fixer` 或 `PHP_CodeSniffer` 进行自动化格式化与静态检查。 | `php-cs-fixer fix . --rules=@PSR12` |
## 3. 总结与行动建议
### 🔑 优先修复的关键问题
1. **安全漏洞修复**：立即替换 `checkWriteable()` 与关房逻辑中的原生 SQL 拼接，全面改用 CI3 Query Builder 或预处理语句；限制 CORS 白名单。
2. **控制流重构**：彻底移除 `goto` 语句，将关房后的状态更新、消息推送、任务生成等逻辑封装为独立方法，通过 `return` 或条件判断流转。
3. **致命错误防御**：修复 `array_intersect` 空数组展开问题，增加 `json_decode` 后的类型校验（如 `is_array()`），避免线上 500 错误。
4. **前端异步治理**：小程序端 `addService` 需引入 `Promise.all` 等待图片上传完成，并增加 loading 状态与失败重试机制。
### 🛠 后续重构与优化方向
1. **架构分层解耦**：当前 Model 层严重越权（承担了 Service、Helper、甚至部分 Controller 职责）。建议引入 `Service` 层处理复杂业务（如时段计算、发券逻辑、微信推送），Model 仅保留数据存取与基础查询。
2. **控制器瘦身**：`ScreenApi.php` 建议采用 **命令模式（Command Pattern）** 或 **策略模式（Strategy Pattern）** 替代巨型 `switch`。每个 `function` 对应一个独立 Handler 类，便于单元测试与后续扩展。
3. **缓存策略升级**：静态变量缓存改为请求级缓存（实例属性）或 Redis 分布式缓存。对于高频查询的门店配置、包厢状态，建议增加缓存失效机制（如发布订阅或版本号控制）。
4. **框架适配说明**：
> ⚠️ 注：提交代码实际基于 **CodeIgniter 3** 架构（特征：`get_instance()`、`load->model()`、`BASEPATH`、`$this->db`）。若 `phpci` 为内部定制框架，请对照其官方生命周期文档调整组件加载方式。CI3 已停止官方维护，若项目处于长期迭代期，建议评估平滑迁移至 CI4 或现代 PHP 框架（如 Laravel/Symfony）的可行性，以获得更好的类型安全、依赖注入与中间件支持。
5. **质量保障**：引入 PHPStan 或 Psalm 进行静态类型分析；为核心时段计算逻辑补充 PHPUnit 单元测试，覆盖边界条件（如跨天、24小时营业、最低时长限制、并发预订冲突）。
---
*此 Issue 由代码审查服务自动创建*...
|
0
|
0
|
0
|
0
|
0
|
|
0
|
1779869404
|
1779869404
|
0
|
0
|
0
|
0
|
Edit
Delete
|
|
793
|
22
|
110
|
1
|
|
0
|
营业状态
|
|
0
|
0
|
1
|
1
|
0
|
|
0
|
1790066497
|
1790066506
|
1790066506
|
0
|
0
|
0
|
Edit
Delete
|
|
149
|
18
|
109
|
1
|
|
0
|
🔍 代码审查报告：pc-260519 - 1
|
## 自动代码审查报告
**分支**: pc-260519
**提交**: `5505d7d7b3 ## 自动代码审查报告
**分支**: pc-260519
**提交**: `5505d7d7b388367ced152448ac0798b0a0802acc`
**提交人**: LITTLEMAIDI (11833999+littlemaidi@user.noreply.gitee.com)
**时间**: 2026-05-18 18:19:04
---
## 1. 审查摘要
- **代码质量评分**：5.5 / 10 分
- **总体评价**：代码实现了预订单列表、详情、统计及退款等核心业务，但存在典型的 **N+1 查询性能瓶颈**、**SQL JOIN 聚合逻辑缺陷** 以及 **框架使用不规范** 问题。模型职责边界模糊，部分业务逻辑与数据访问耦合过深，需优先进行架构与查询优化。
- **风险等级**：🔴 高（循环内 DB 操作与聚合计算错误在生产环境易引发性能雪崩与财务数据失真）
## 2. 问题详情
| 严重程度 | 文件/行号 | 问题描述 | 建议修改方案 | 代码示例 (可选) |
| :--- | :--- | :--- | :--- | :--- |
| 🔴 严重 | `get_list()` 方法内 | **循环内执行数据库查询与更新**：在 `foreach` 中调用 `ahead_user_model->get_one()` 和 `update_book_mobile()`。若列表返回 100 条数据，将触发 300+ 次 DB 请求，极易导致连接池耗尽或超时。 | 改为 **批量查询+批量更新**。先收集缺失手机号的订单 ID，循环外统一 `WHERE IN` 查询，再执行批量 `UPDATE`。 | `// 收集需更新的订单ID<br>$missing_ids = [];<br>foreach ($order_info as $v) { if(empty($v['book_mobile'])) $missing_ids[] = $v['id']; }<br>if($missing_ids) { /* 批量查询并更新 */ }` |
| 🔴 严重 | `get_total_amount()` 方法 | **LEFT JOIN 导致聚合数据膨胀**：`LEFT JOIN ahead_book_order_refund` 后直接 `SUM(a._actual_pay - ...)`。若一个订单存在多条退款记录，主表金额会被重复累加，导致统计结果严重失真。 | 使用 **子查询预聚合** 退款金额，再与主表关联；或先 `GROUP BY` 订单 ID 再求和。 | `// 推荐子查询写法<br>$fields = 'SUM(a._actual_pay) - IFNULL((SELECT SUM(_refund_amount) FROM ahead_book_order_refund WHERE _book_order_id=a._id), 0) as total_amount';` |
| 🔴 严重 | `get_detail()` 方法 (~L118) | **变量作用域越界**：`$refund_admin` 仅在 `if (!empty($order_refund['_admin_id']))` 块内定义，但在后续退款循环中直接使用 `$refund_admin['_name']`。若条件不满足将触发 `PHP Notice/Warning`。 | 在方法顶部初始化 `$refund_admin = [];`，或使用安全访问符。 | `$refund_admin = []; // 方法开头初始化<br>// 后续使用<br>$v['operator'] = $refund_admin['_name'] ?? '';` |
| 🟠 警告 | 文件顶部 (L4-L5) | **冗余且错误的实例化与加载**：`$CI = &get_instance(); $CI->load->model('Simple_model');` 在模型类定义中毫无意义。PHP 继承机制会自动加载父类，无需通过 CI 加载器手动加载。 | **直接删除这两行**。确保 `Simple_model` 已通过 Composer 自动加载或框架基础配置引入。 | `// 删除顶部冗余代码<br>class Ahead_book_order_model extends Simple_model { ... }` |
| 🟠 警告 | 多个方法内 | **频繁动态加载模型**：`$this->load->model()` 在 `get_list`, `get_detail` 等方法内部多次调用，增加框架解析开销，且违反 CI 最佳实践。 | 将依赖模型统一移至 `__construct()` 中加载，或配置 `autoload.php`。 | `public function __construct() {<br> parent::__construct();<br> $this->load->model(['ahead_user_model', 'ahead_book_model', 'ahead_yc_order_model']);<br>}` |
| 🟠 警告 | `get_list()` / `get_detail()` | **硬编码状态映射散乱**：支付场景、状态文案等硬编码在方法内部，且与类属性 `$status_arr` 重复，后期维护成本高。 | 提取为 **类常量** 或统一使用配置字典表，保持单一数据源。 | `const PAY_SCENE_MAP = [<br> '5' => '微信预订', '6' => '会员app预订', ...<br>];<br>// 方法内使用 self::PAY_SCENE_MAP[$v['pay_scene']] ?? ''` |
| 🟡 建议 | 全局 | **数组语法不统一**：混用 `array()` 和 `[]`，不符合现代 PHP 规范。 | 遵循 PSR-12，统一使用短数组语法 `[]`。 | `public $status_arr = [ -1 => '待支付', ... ];` |
| 🟡 建议 | `refund()` 方法 | **依赖全局函数**：`throwError()` 和 `bookOrderRefund()` 为全局函数，不利于单元测试、依赖注入及异常追踪。 | 建议封装为独立 **Service 层** 或静态工具类，通过模型调用。若为 `phpci` 框架内置函数，请查阅官方文档确认其异常处理机制。 | `// 推荐架构<br>use App\Services\RefundService;<br>$result = RefundService::handle($id, $reason, $userId, $userName);` |
## 3. 总结与行动建议
### 🔑 优先修复的关键问题
1. **彻底移除 `get_list()` 循环内的数据库操作**：这是当前代码最大的性能隐患。请改为“收集 ID → 批量查询 → 内存映射 → 批量更新”的模式，或考虑将“补全手机号”逻辑下沉至异步任务/定时脚本。
2. **修正 `get_total_amount()` 的 SQL 聚合逻辑**：财务统计必须保证绝对准确。请立即替换为子查询或 `GROUP BY` 方案，避免 `LEFT JOIN` 导致的笛卡尔积膨胀。
3. **修复 `$refund_admin` 未定义警告**：在 `get_detail()` 顶部初始化该变量，避免生产环境日志被 Notice 刷屏。
### 🛠 后续重构与优化方向
- **规范模型生命周期**：清理文件顶部的 `$CI = &get_instance();` 及冗余 `load->model()`。所有依赖模型应在构造函数中一次性加载，或交由框架自动加载器管理。
- **职责分离（Service 层引入）**：当前 Model 承担了过多业务逻辑（如状态映射、金额计算、退款流程调用）。建议将 `refund()`、复杂状态转换、金额核算等逻辑抽离至 `Service` 层，Model 仅负责纯净的数据存取。
- **统一状态字典管理**：将 `$status_arr`、`$book_status` 及方法内的硬编码数组统一收敛至配置类或数据库字典表，便于多语言/多端复用。
- **框架适配说明**：代码结构高度符合 CodeIgniter 3 规范。若 `phpci` 为内部定制框架，请重点查阅其官方文档中关于 **模型基类 (`Simple_model`) 的加载机制** 与 **批量操作 API**，确保上述优化方案与框架底层兼容。
---
*此 Issue 由代码审查服务自动创建*...
|
0
|
0
|
0
|
0
|
0
|
|
0
|
1779099544
|
1779099544
|
0
|
0
|
0
|
0
|
Edit
Delete
|
|
362
|
21
|
109
|
1
|
|
0
|
🔍 代码审查报告：pay-260616 - Merge branch 'pay-260616 🔍 代码审查报告：pay-260616 - Merge branch 'pay-260616' of https://gitea.g-hi.co...
|
## 自动代码审查报告
**分支**: pay-260616
**提交**: `07a9b1e0c ## 自动代码审查报告
**分支**: pay-260616
**提交**: `07a9b1e0cf5cdf3d7b14a97ea3bed1494ac37edb`
**提交人**: LITTLEMAIDI (11833999+littlemaidi@user.noreply.gitee.com)
**时间**: 2026-05-27 15:12:46
---
## 📋 审查摘要
- **变更文件数**: 3
- **严重问题**: 2
- **高危问题**: 3
- **中危问题**: 2
- **建议优化**: 3
## 🐛 发现的问题
### <font color="red">[语法错误] PHP 7.2+ 废弃/8.0 移除 `create_function` 导致致命错误</font>
- **严重程度**: <font color="red">严重</font>
- **文件**: `application/helpers/common_helper.php`
- **行号**: 约 248 行 (`decodeUnicode` 函数)
- **问题描述**: 使用了 `create_function` 创建匿名回调。该函数在 PHP 7.2 已被标记为废弃，在 PHP 8.0 中已被彻底移除。若服务器环境为 PHP 8+，将直接抛出 `Fatal Error: Uncaught Error: Call to undefined function create_function()`。
- **修复建议**: 替换为现代 PHP 匿名函数语法：
```php
function decodeUnicode($str) {
return preg_replace_callback('/\\\\u([0-9a-f]{4})/i', function($matches) {
return mb_convert_encoding(pack("H*", $matches[1]), "UTF-8", "UCS-2BE");
}, $str);
}
```
### <font color="red">[跨文件调用] 调用了未定义的函数/类</font>
- **严重程度**: <font color="red">高危</font>
- **文件**: `application/controllers/api/ScreenApi.php`
- **行号**: 约 203, 263, 313 行
- **问题描述**: 代码中直接调用了 `request_frequency()`, `create_tmp_wx_qrcode()`, `sendRoomStatusToApp()`。在提供的项目结构与变更文件中均未找到这些函数的定义。若未在其他 Helper 中自动加载，将触发 `Call to undefined function` 致命错误。
- **修复建议**:
1. 确认这些函数所在的 Helper 文件（如 `api_helper.php` 或 `wx_helper.php`）。
2. 在控制器顶部添加 `$this->load->helper('对应helper名');` 或在 `autoload.php` 中配置自动加载。
3. 检查是否存在拼写错误。
### <font color="red">[跨文件调用] 父类控制器 `KtvPayController` 未定义</font>
- **严重程度**: <font color="red">高危</font>
- **文件**: `application/controllers/api/ScreenApi.php`
- **行号**: 约 10 行
- **问题描述**: `class ScreenApi extends KtvPayController` 继承了 `KtvPayController`，但项目结构中未提供该控制器文件。若不存在于 `application/core/` 或 `application/controllers/`，将导致类找不到错误。
- **修复建议**: 确认 `KtvPayController.php` 是否存在且路径正确。若为自定义核心控制器，请确保已正确放置在 `application/core/` 目录下。
### [安全隐患] 硬编码敏感凭证 (OSS & RocketMQ)
- **严重程度**: 高危
- **文件**: `application/helpers/common_helper.php` (约152行) & `application/libraries/Rocketmqs.php` (约11-13行)
- **问题描述**:
1. `common_helper.php` 中硬编码了阿里云 OSS 的 `accessId` 和 `accessKey`。
2. `Rocketmqs.php` 中硬编码了阿里云 MQ 的 `accessKeyId` 和 `accessKeySecret`。
代码提交至版本控制系统后极易泄露，攻击者可直接利用凭证操作云资源或窃取数据。
- **修复建议**: 将敏感凭证移至 `application/config/config.php` 或 `.env` 环境变量文件中，通过 `$this->config->item('oss_access_key')` 或 `getenv()` 读取。严禁在代码中明文存储密钥。
### [安全隐患] 宽泛的 CORS 跨域策略
- **严重程度**: 高危
- **文件**: `application/controllers/api/ScreenApi.php`
- **行号**: 约 6 行
- **问题描述**: `header("Access-Control-Allow-Origin:*");` 允许任意域名发起跨域请求，极易被恶意网站利用发起 CSRF 攻击或窃取接口数据。
- **修复建议**: 限制为可信域名白名单，例如：
```php
$allowed_origins = ['https://yourdomain.com', 'https://app.yourdomain.com'];
if (in_array($_SERVER['HTTP_ORIGIN'] ?? '', $allowed_origins)) {
header("Access-Control-Allow-Origin: " . $_SERVER['HTTP_ORIGIN']);
}
```
### [逻辑 BUG] `switch` 条件类型不一致引发隐式转换风险
- **严重程度**: 中危
- **文件**: `application/controllers/api/ScreenApi.php`
- **行号**: 约 45-350 行
- **问题描述**: `switch ($request['function'])` 中混用了整型 (`case 1001:`) 和字符串 (`case "1006":`)。PHP 弱类型比较虽能运行，但在严格模式或未来版本中可能引发不可预期的匹配失败或类型转换 Bug。
- **修复建议**: 统一类型后再进行匹配，例如：`switch ((string)$request['function'])` 并将所有 `case` 改为字符串格式。
### [代码质量] 滥用 `goto` 语句与潜在作用域污染
- **严重程度**: 中危
- **文件**: `application/controllers/api/ScreenApi.php`
- **行号**: 约 180, 330 行
- **问题描述**: 使用 `goto famail_close;` 进行流程跳转。标签名 `famail_close` 疑似拼写错误（应为 `family_close` 或 `fail_close`）。`goto` 会破坏代码执行流，增加维护难度，且容易导致变量未初始化或作用域混乱。
- **修复建议**: 提取公共逻辑为独立方法，或使用 `if/else` 条件分支重构。避免在生产代码中使用 `goto`。
## ✅ 代码亮点
1. **请求日志记录完善**: 在构造函数中通过 `do_log` 记录了唯一标识、控制器、方法及原始请求流，便于线上问题排查与审计。
2. **防重放/限流意识**: 在 `case 1006` 中使用了 `request_frequency()` 进行频率限制，体现了对接口防刷的安全意识。
3. **模块化模型加载**: 按需使用 `$this->load->model()` 加载业务模型，避免了不必要的内存开销，符合 CodeIgniter 最佳实践。
## 📝 总体建议
1. **环境兼容性升级**: 立即修复 `create_function` 问题，确保代码兼容 PHP 7.4/8.0+。建议统一项目 PHP 版本并在 CI/CD 中增加语法检查。
2. **配置与代码分离**: 严格遵循 `12-Factor` 原则，将所有数据库配置、第三方服务密钥、API 域名等抽离至配置文件或环境变量，杜绝硬编码。
3. **规范跨域与路由**: API 接口应统一通过网关或中间件处理 CORS、鉴权与限流，避免在每个控制器中重复编写 Header 设置。
4. **重构复杂业务逻辑**: `case 2001` (关房操作) 逻辑过于庞大（超 150 行），包含大量数据库更新、消息推送、Redis 操作。建议按职责拆分为 `CloseRoomService` 类，提高可测试性与可维护性。
5. **统一查询构造器**: `common_helper.php` 中的 `get_printer` 函数直接拼接 SQL 字符串，建议全面替换为 CodeIgniter 的 Query Builder (`$this->db->where()->get()`)，以自动处理转义并防止潜在 SQL 注入。
---
*此 Issue 由代码审查服务自动创建*...
|
0
|
0
|
0
|
0
|
0
|
|
0
|
1779865966
|
1779865966
|
0
|
0
|
0
|
0
|
Edit
Delete
|
|
787
|
22
|
109
|
1
|
|
0
|
需求 直播间配置不设置 16817
|
|
0
|
0
|
1
|
1
|
0
|
|
0
|
1789718351
|
1789718357
|
1789718357
|
0
|
0
|
0
|
Edit
Delete
|
|
148
|
18
|
108
|
1
|
|
0
|
🔍 代码审查报告：pc-260519 - 1
|
## 自动代码审查报告
**分支**: pc-260519
**提交**: `5a4def4151 ## 自动代码审查报告
**分支**: pc-260519
**提交**: `5a4def415116b0e453e73853314450fe09e45f04`
**提交人**: LITTLEMAIDI (11833999+littlemaidi@user.noreply.gitee.com)
**时间**: 2026-05-18 18:18:12
---
## 1. 审查摘要
- **代码质量评分**：6.0 / 10 分
- **总体评价**：代码实现了预订单列表、详情、统计与退款的核心业务逻辑，但存在明显的架构与性能缺陷。主要问题集中在 **N+1 查询瓶颈**、**JOIN 聚合数据失真**、**框架生命周期使用不规范** 以及 **全局函数依赖**。代码风格未严格对齐现代 PHP 规范，部分逻辑缺乏防御性编程。
- **风险等级**：🔴 高（性能瓶颈与统计逻辑错误可能在生产环境引发严重故障）
> 📌 **框架说明**：根据目录结构（`system/`, `application/models/`）及 `get_instance()` 用法，推断 `phpci` 为基于 CodeIgniter 3 架构的定制框架。以下审查基于 CI3/现代 PHP 最佳实践，若为自研框架，请对照其官方文档调整组件加载方式。
## 2. 问题详情
| 严重程度 | 文件/行号 | 问题描述 | 建议修改方案 | 代码示例 (可选) |
| :--- | :--- | :--- | :--- | :--- |
| 🔴 严重 | `get_list()` 循环内 (~L48-60) | **N+1 查询与循环内写库**：遍历订单列表时，逐条调用 `get_one()` 查询手机号并执行 `update_book_mobile()`。数据量超 100 时将导致数据库连接耗尽、接口超时。 | 1. 将手机号通过 `LEFT JOIN` 合并至主查询；<br>2. 若必须更新，应收集缺失手机号的 ID，使用 `WHERE IN` 批量更新，或改为异步任务处理。 | `// 主查询补充 JOIN<br>$where['join'][] = ['ahead_user u', 'a._ahead_user_id=u._id', 'left'];<br>$fields .= ', u._mobile as user_mobile';<br>// 循环内移除 DB 操作，直接赋值<br>$v['book_mobile'] = $v['book_mobile'] ?: $v['user_mobile'] ?? '';` |
| 🔴 严重 | `get_total_amount()` (~L78-82) | **JOIN 导致聚合数据膨胀**：主表与退款表 `LEFT JOIN` 后，若一笔订单存在多条退款记录，`sum(a._actual_pay)` 会被重复累加，导致实收金额统计严重失真。 | 使用子查询或 `GROUP BY` 先聚合退款金额，再与主表关联计算。避免直接对多对一关系的主表字段求和。 | `SELECT SUM(a._actual_pay) - IFNULL(SUM(b.total_refund), 0) as total_amount<br>FROM ahead_book_order a<br>LEFT JOIN (<br> SELECT _book_order_id, SUM(_refund_amount) as total_refund<br> FROM ahead_book_order_refund GROUP BY _book_order_id<br>) b ON a._id = b._book_order_id<br>WHERE ...` |
| 🟠 警告 | 文件顶部 (L5-6) | **全局实例滥用与模型加载错误**：在类外部使用 `get_instance()` 加载 `Simple_model`，违反 MVC 架构，易引发作用域污染、重复加载及内存泄漏。 | 移除顶部代码。模型依赖应在 `__construct()` 中通过 `$this->load->model()` 加载，或交由框架自动加载器处理。 | `public function __construct() {<br> parent::__construct();<br> $this->load->model(['ahead_user_model', 'ahead_book_model', 'ahead_merchant_room_type_model']);<br>}` |
| 🟠 警告 | `get_detail()` 多处 | **方法内重复加载模型**：在详情方法中多次调用 `$this->load->model()`，每次触发文件包含与实例化，拖慢响应且不符合框架生命周期。 | 将所有依赖模型统一移至构造函数加载。若模型仅在此处使用，可考虑使用依赖注入容器或延迟加载。 | 见上方构造函数示例。移除方法内的 `$this->load->model()` 调用。 |
| 🟠 警告 | 类属性 (L13-19) | **数组键类型不一致**：`$status_arr` 使用整型键，`$book_status` 使用字符串键。PHP 弱类型特性可能导致 `$arr[$key]` 匹配失败或隐式转换引发逻辑隐患。 | 统一使用整型键，并在取值时进行类型强转 `(int)`，或统一使用字符串键。 | `public $book_status = [-1 => '已作废', 1 => '未使用', 2 => '已使用'];`<br>`$v['use_status'] = $this->book_status[(int)$v['status']] ?? '';` |
| 🟠 警告 | `select()` 调用处 | **潜在 SQL 注入风险**：`$this->select($where, $fields)` 依赖自定义封装。若 `$where` 直接透传前端参数且未做参数绑定/转义，存在注入风险。 | 确保 `Simple_model::select()` 内部使用预处理语句。建议改用框架原生 Query Builder 或显式绑定参数。 | `$this->db->select($fields)->join(...)->where($where)->get()->result_array();` |
| 🟡 建议 | 全文 | **未遵循 PSR-12 与现代 PHP 规范**：混用 `array()` 与 `[]`；缺乏参数/返回值类型声明；DocBlock 不完整；硬编码业务逻辑。 | 统一使用短数组语法 `[]`；为方法添加类型提示；完善注释；将业务映射逻辑抽离至配置类或常量文件。 | `public function get_list(array $where, int $page = 0, int $page_size = 10): array` |
| 🟡 建议 | `refund()` (~L118) | **依赖全局函数与硬编码错误处理**：使用 `throwError()` 和 `bookOrderRefund()` 全局函数，不利于单元测试、异常堆栈追踪与事务回滚。 | 改用 `throw new \Exception()` 或框架内置异常类；将退款流程封装为独立的 `RefundService`，支持事务与重试。 | `if (empty($result['status'])) {<br> throw new \RuntimeException($result['msg'] ?? '退款失败');<br>}` |
## 3. 总结与行动建议
### 🚨 优先修复的关键问题
1. **修复 `get_total_amount` 统计失真**：立即替换为子查询或分组聚合逻辑，避免财务数据错误引发客诉。
2. **消除 `get_list` 的 N+1 查询**：通过 `JOIN` 补充用户手机号字段，移除循环内的数据库读写操作。这是当前接口性能的最大瓶颈。
3. **规范模型加载生命周期**：移除文件顶部的 `get_instance()`，将所有 `$this->load->model()` 收敛至 `__construct()`，符合框架设计规范。
### 🛠 后续重构与优化方向
- **架构解耦**：将 `bookOrderRefund`、`throwError` 等全局函数重构为 `Service` 层或 `Helper` 类，引入依赖注入（DI）容器，提升可测试性。
- **查询构建器标准化**：逐步弃用 `Simple_model` 的黑盒封装，全面迁移至框架原生 Query Builder 或 ORM，确保 SQL 安全与可维护性。
- **类型安全与规范**：全面启用 PHP 7+ 类型声明（`array`, `int`, `string`, `bool`），统一数组语法，配置 PHP_CodeSniffer 或 PHP-CS-Fixer 进行 CI 流水线卡点。
- **缓存策略**：`get_detail` 涉及多表关联查询，建议对高频访问的订单详情引入 Redis 缓存（TTL 5~10分钟），并在退款/状态变更时主动清除缓存。
> 💡 **提示**：若 `phpci` 框架对模型加载或查询构建器有特殊约定，请优先查阅其官方文档。上述建议基于通用 PHP 工程实践，可直接应用于当前代码库的迭代优化。
---
*此 Issue 由代码审查服务自动创建*...
|
0
|
0
|
0
|
0
|
0
|
|
0
|
1779099492
|
1779099492
|
0
|
0
|
0
|
0
|
Edit
Delete
|