🚀

麓湖少年成长中心

开发进度看板 · 最后更新 2026-03-26 10:09

3%
总体进度
1/36
已完成项
1/11
P0
0/15
P1
0/10
P2

🔴 P0 阻塞上架

1/11 · 9%

必须完成才能上线

○
基础设施 / 部署 ICP 备案
已在流程中，需跟进完成（约 2-4 周）
待完成
○
基础设施 / 部署 微信小程序 AppID
project.config.json 中目前为占位符 wx_YOUR_APPID_HERE，需在 [mp.weixin.qq.com](https://mp.weixin.qq.com) 注册真实小程序并填入
待完成
○
基础设施 / 部署 serverless.yml 补 VPC 配置
dev/backend/serverless.yml 当前无 VPC 设置，SCF 部署后无法连接云数据库和 Redis，是硬性部署阻断
待完成
○
基础设施 / 部署 serverless.yml 统一 Python 版本
配置写的 Python3.9，本地开发用 Python3.11，需统一（建议统一为 3.11）
待完成
○
数据模型 models.py 与 schema.sql 字段全面对齐
经审查发现大量不一致，会导致 ORM 查询报错或数据丢失，涉及以下表：
待完成
○
安全 JWT_SECRET_KEY 替换默认值
dev/backend/app/core/config.py 中默认值为 "change-me-in-production"，必须通过环境变量设置强随机密钥
待完成
○
安全 location 接口全量加鉴权
dev/backend/app/api/location/routes.py 中 4 个接口均无身份验证，任何人可查询所有儿童位置
待完成
○
安全 RFID 查询接口加鉴权
dev/backend/app/api/auth/routes.py 中 get_child_by_rfid 无鉴权，知道 RFID 即可获取儿童信息
待完成
○
合规 用户隐私保护指引
在小程序后台（设置 → 服务内容声明）配置，需逐一说明每个权限的采集用途，审核周期 7-10 天
待完成
○
合规 儿童数据合规 — 监护人知情同意
小程序首次使用时展示《知情同意书》弹窗，需家长明确确认（《儿童个人信息网络保护规定》要求）
待完成
✓
员工平板 Vite alias 路径修复
dev/guide-tablet/vite.config.js 中 '@': '/src' 是绝对路径，**生产构建直接失败**，需改为 path.resolve(__dirname, 'src') ✅ 2026-03-26
已完成

🟡 P1 上线前

0/15 · 0%

功能完整性 + 数据安全

○
功能 Stub 接入 微信登录真实接入
dev/backend/app/api/auth/routes.py 中 _get_wechat_openid() 目前是 md5 mock stub，需接入微信官方 jscode2session API（https://api.weixin.qq.com/sns/jscode2session）
待完成
○
功能 Stub 接入 腾讯云 COS 上传
dev/backend/app/api/photo/routes.py 中 _upload_to_cos() 未实现，返回假 URL，会写脏数据进数据库，需接入腾讯云 COS SDK
待完成
○
功能 Stub 接入 AI 月报亮点生成
dev/backend/app/api/report/routes.py 中 AI 生成逻辑为 stub，需接入 Claude API
待完成
○
功能 Stub 接入 飞书审批回调链路打通
dev/feishu-bot/main.py 第 198 行卡片 approve/reject 点击只打印日志，需调用 ApprovalHandler.handle_approval_completed() 真正落库
待完成
○
数据安全 微信支付结果服务端验证
dev/wechat-miniprogram/pages/index/index.js 支付回调只显示"预约成功"，未调用后端验签接口，存在漏单/重单风险
待完成
○
数据安全 P2P 金币转账加事务
dev/backend/app/api/economy/routes.py transfer_coins() 两账户更新不在同一事务，并发下可能数据不一致
待完成
○
数据安全 密码哈希迁移至 bcrypt
dev/backend/app/api/auth/routes.py 第 505 行用 SHA256 存密码，需迁移为 bcrypt
待完成
○
数据安全 敏感配置加必填校验
启动时检查 DB_PASSWORD、REDIS_PASSWORD、ANTHROPIC_API_KEY、COS_SECRET_* 等是否配置，避免静默失败
待完成
○
配置 / 体验 微信小程序合法域名配置
在微信后台配置 request 合法域名（后端 API 域名）及 downloadFile 合法域名（COS CDN 域名）
待完成
○
配置 / 体验 SCF 冷启动预热
在 serverless.yml 中添加定时触发器（每 5 分钟 ping 一次），防止小程序首屏响应慢
待完成
○
配置 / 体验 各模块 `.env` 填写真实值
参考各模块 .env.example，填写数据库、Redis、AI、COS、飞书等真实配置
待完成
○
配置 / 体验 guide-tablet API baseURL fallback 修复
dev/guide-tablet/src/api/request.js fallback 为 http://localhost:3000/api，生产环境漏配会悄悄打到错误地址
待完成
○
配置 / 体验 guide-tablet 工位列表改为 API 动态获取
dev/guide-tablet/src/views/LoginView.vue 工位列表写死，需从 /location/stations 接口获取
待完成
○
配置 / 体验 小程序登录态统一检查
各页面 onShow 需检查 token 有效性，过期时跳转重新登录，避免空数据页
待完成
○
小程序错误处理 API 失败给用户明确提示
多个页面 catch 块只有 console.warn（child.js、location.js、report.js、tasks.js、coins.js），需改为 wx.showToast 等提示
待完成

🔵 P2 中期优化

0/10 · 0%

技术债，上线后处理

○
跨平台扩展评估（uni-app）
家长端目前是原生微信小程序（WXML），若需同时出安卓 App，最优方案是迁移到 **uni-app**（Vue 3 语法，与 guide-tablet 技术栈一致，迁移约 2-3 周）。短期过渡可用 FinClip SDK 将小程序嵌入安卓壳
待完成
○
飞书 bot 加重试机制
dev/feishu-bot/utils/feishu_api.py 中 API 调用无重试，网络失败会丢消息，需加指数退避重试
待完成
○
飞书 bot 加速率限制
飞书 API 有调用频率限制，当前无保护，高频场景可能触发限流
待完成
○
飞书 bot 数据库改连接池
dev/feishu-bot/utils/db.py 只维护单连接，定时任务并发时有竞态风险，改用 DBUtils 或 SQLAlchemy
待完成
○
飞书周报 trend_data 改真实查询
dev/feishu-bot/handlers/report_handler.py 第 88-98 行趋势数据硬编码 direction:'up', percentage:'+5'
待完成
○
CORS 配置改为环境变量
dev/backend/app/main.py 中 allow_origins 硬编码，新增安卓端时需修改代码；改为从环境变量读取
待完成
○
小程序图标资源替换
dev/wechat-miniprogram/static/icons/ 下为占位图，需替换为设计师提供的正式图标
待完成
○
APScheduler 加错误回调
定时任务失败无通知，加 on_error 回调或接入飞书告警
待完成
○
小程序 baseUrl 改为配置文件
dev/wechat-miniprogram/app.js 中 baseUrl 硬编码，多环境切换困难
待完成
○
人脸识别功能定性
dev/backend/app/api/auth/routes.py 中 face_verify() 是 stub，需决定是上线前实现还是隐藏入口
待完成

数据来源：AGENTS.md