group_fqcd_jr

179 Commits 12 Branches 0 Tags

3 Commits

Include renames

Author	SHA1	Message	Date
lzf_0626	d896a906cd	fix(risk): 规则扫描加跨进程锁——手工触发与定时扫描此前可以同时跑 docs/25 P2 最后一项。核实后分清了两层，报告没区分： - 定时扫描是安全的：risk_scan_scheduler.py 已有 MySQL 连接级咨询锁（GET_LOCK，锁名 jr_risk_scan_schedule），跨进程互斥。 - HTTP 端点不安全：POST /api/v1/risk/alerts/scan → RiskScanService.scan() 只用了进程内 asyncio.Lock。多 Web worker、或 Worker 与 API 同时运行时形同虚设。而扫描的幂等只有应用层的 _exists 查重 —— fin_risk_alert 的 trigger_rule_codes 是 JSON 数组，无法建唯一索引兜底（同一交易可命中多条规则，唯一键本应是"交易+规则"，而规则埋在 JSON 里）。所以两条路径并发时会同时查不到、同时插入，产生重复预警。改动： 1. 把 mysql_scan_lock 与锁名移到 pp/infrastructure/db.py —— 端点与调度器必须共用同一把锁，放在基础设施层两个入口才都能引用（service 不该反向依赖 worker）。调度器改为从那里 import。 2. 端点层加锁（controllers/risk.py 的 scan 端点）：取不到锁就抛 RiskScanBusyError （与 service 内部那把进程内锁用同一错误类型与文案）。为什么不加在 RiskScanService.scan() 内部：GET_LOCK 是连接级的，而调度器已经在它自己的 session 上持锁；被两个入口共用的服务方法若再取同一把锁，取锁的连接并不是持锁的那一个、必然返回 0 —— 会把定时扫描自己挡死。所以锁加在入口层，每个入口只取一次。实测： - 无人持锁时扫描 → 200「规则扫描完成」 - 本进程先取得跨进程锁后再调端点 → 409「规则扫描正在执行，请稍后重试」（同一进程内不同 session 也互斥，说明它是连接级的，正是跨进程所需） - 释放后再调 → 200，恢复正常顺带第 4 次遇到 409 复用错误码 RUN_NOT_CANCELLABLE，语义不符；属 P3 待处理项。 ruff / mypy(136 文件) / 639 unit+contract 全绿。	2026-09-11 13:57:22 +08:00
lzf_0626	24de6c34f7	fix(risk): 扫描健壮性——脏数据不再中断整批，调度器重启后仍会执行 docs/25 P0 的后两项，都属于"风控看起来在工作、其实没在跑"那一类。 ② 一条脏数据中断整批 _level_value 原先直接 int(level.replace(prefix, ""))：等级字段只要有一条不是 R1-R5 / C1-C5（例如写了「中风险」），就抛 ValueError 并冒到 scan() 的兜底 → 整批 rollback，本次扫描前面已经生成的预警全部作废。数据脏属于运维问题，不该升级成 "整个风控停摆"。改为返回 int \| None；调用点跳过该条并记 warning（带上 transaction_id 与两个原始值，便于运维直接定位）。顺带把 eplace 换成 emoveprefix：原先 "R2R" 会被错当成 2，现在只去掉开头那一个前缀字符。 ③ 调度器重启后永不执行 last_run_at 只存在内存里，重启后为 None，而 _is_due 此时返回 config.run_immediately（默认 False）⇒ 重启后 _is_due 恒为假，调度器形同虚设，而且没有任何告警。改为"从未跑过即视为 due"：多跑一次的最坏后果是重复扫描，而扫描每条规则都先 _exists 查重、外层还有 MySQL 级锁；反过来"不跑"的后果可能是永远不跑。 config.run_immediately 不再承担"首次是否执行"的语义（它原本想表达"启动后别马上跑"，但那与"永远不跑"在实现上无法区分），字段保留以免破坏既有配置。新增 tests/unit/service/test_risk_scan_robustness.py（6 条）：脏数据返回 None 而不抛异常、 R2R 不被过度剥离、首次必 due（哪怕 run_immediately=False）、以及间隔前后的判定。 ruff / mypy(136 文件) / 622 unit+contract / 29 integration 全绿。	2026-09-11 13:35:58 +08:00
zhangshy	c2178a985d	feat: 增加风控定时扫描 Worker 与环境配置	2026-09-11 09:49:21 +08:00

Author

SHA1

Message

Date

lzf_0626

d896a906cd

fix(risk): 规则扫描加跨进程锁——手工触发与定时扫描此前可以同时跑

docs/25 P2 最后一项。核实后分清了两层，报告没区分：

- **定时扫描是安全的**：risk_scan_scheduler.py 已有 MySQL 连接级咨询锁
  （GET_LOCK，锁名 jr_risk_scan_schedule），跨进程互斥。
- **HTTP 端点不安全**：POST /api/v1/risk/alerts/scan → RiskScanService.scan() 只用了
  **进程内** asyncio.Lock。多 Web worker、或 Worker 与 API 同时运行时形同虚设。

而扫描的幂等只有应用层的 _exists 查重 —— fin_risk_alert 的 trigger_rule_codes 是 JSON
数组，**无法建唯一索引兜底**（同一交易可命中多条规则，唯一键本应是"交易+规则"，而规则
埋在 JSON 里）。所以两条路径并发时会同时查不到、同时插入，产生重复预警。

**改动**：

1. 把 mysql_scan_lock 与锁名移到 pp/infrastructure/db.py —— 端点与调度器**必须共用
   同一把锁**，放在基础设施层两个入口才都能引用（service 不该反向依赖 worker）。
   调度器改为从那里 import。
2. **端点层加锁**（controllers/risk.py 的 scan 端点）：取不到锁就抛 RiskScanBusyError
   （与 service 内部那把进程内锁用同一错误类型与文案）。

**为什么不加在 RiskScanService.scan() 内部**：GET_LOCK 是**连接级**的，而调度器已经在
它自己的 session 上持锁；被两个入口共用的服务方法若再取同一把锁，取锁的连接并不是持锁的
那一个、必然返回 0 —— 会**把定时扫描自己挡死**。所以锁加在入口层，每个入口只取一次。

**实测**：
- 无人持锁时扫描 → **200**「规则扫描完成」
- 本进程先取得跨进程锁后再调端点 → **409**「规则扫描正在执行，请稍后重试」
  （同一进程内不同 session 也互斥，说明它是连接级的，正是跨进程所需）
- 释放后再调 → **200**，恢复正常

顺带第 4 次遇到 409 复用错误码 RUN_NOT_CANCELLABLE，语义不符；属 P3 待处理项。

ruff / mypy(136 文件) / 639 unit+contract 全绿。

2026-09-11 13:57:22 +08:00

lzf_0626

24de6c34f7

fix(risk): 扫描健壮性——脏数据不再中断整批，调度器重启后仍会执行

docs/25 P0 的后两项，都属于"风控看起来在工作、其实没在跑"那一类。

**② 一条脏数据中断整批**
_level_value 原先直接 int(level.replace(prefix, ""))：等级字段只要有一条不是
R1-R5 / C1-C5（例如写了「中风险」），就抛 ValueError 并冒到 scan() 的兜底 → **整批
rollback**，本次扫描前面已经生成的预警全部作废。数据脏属于运维问题，不该升级成
"整个风控停摆"。

改为返回 int | None；调用点跳过该条并记 warning（带上 transaction_id 与两个原始值，
便于运维直接定位）。顺带把 
eplace 换成 
emoveprefix：原先 "R2R" 会被错当成 2，
现在只去掉开头那一个前缀字符。

**③ 调度器重启后永不执行**
last_run_at 只存在内存里，重启后为 None，而 _is_due 此时返回
config.run_immediately（默认 False）⇒ 重启后 _is_due 恒为假，**调度器形同虚设，
而且没有任何告警**。

改为"从未跑过即视为 due"：多跑一次的最坏后果是重复扫描，而扫描每条规则都先 _exists
查重、外层还有 MySQL 级锁；反过来"不跑"的后果可能是永远不跑。
config.run_immediately 不再承担"首次是否执行"的语义（它原本想表达"启动后别马上跑"，
但那与"永远不跑"在实现上无法区分），字段保留以免破坏既有配置。

新增 tests/unit/service/test_risk_scan_robustness.py（6 条）：脏数据返回 None 而不抛异常、
R2R 不被过度剥离、首次必 due（哪怕 run_immediately=False）、以及间隔前后的判定。

ruff / mypy(136 文件) / 622 unit+contract / 29 integration 全绿。

2026-09-11 13:35:58 +08:00

zhangshy

c2178a985d

feat: 增加风控定时扫描 Worker 与环境配置

2026-09-11 09:49:21 +08:00