jiu/docs/review/validation-bugs.md

参数校验 Bug 报告

BUG-001

严重程度：高

问题描述： POST /api/v1/partners 接口缺少对 name 字段的必填校验。传入空 name 时，handler 成功通过 ShouldBindJSON 绑定并返回 201，而不是期望的 400。

复现步骤：

1. 调用 POST /api/v1/partners，body 为 {"type":"supplier"}（不含 name）
2. 期望返回 400，实际返回 201

失败的测试用例：

func TestPartnerHandler_Create_MissingName(t *testing.T) {
    // 这个测试会失败，揭示了 partner handler 缺少 name 必填校验
    body := `{"type":"supplier"}`
    w := httptest.NewRecorder()
    req, _ := http.NewRequest("POST", "/api/v1/partners", strings.NewReader(body))
    req.Header.Set("Content-Type", "application/json")
    // 预期 400，实际得到 201
}

根因分析： backend/internal/model/partner.go 第 6 行：

Name string `gorm:"size:200;not null" json:"name"`

结构体 Name 字段只有 GORM 的 not null 约束，没有 binding:"required" 标签。 c.ShouldBindJSON 只校验 binding 标签，不校验 GORM 标签，导致空 name 可以通过校验。

SQLite in-memory 不严格强制 NOT NULL 约束（与 MySQL 行为不同），所以数据库层面也未报错。

修复建议： 在 Partner model 的 Name 字段添加 binding:"required" 标签：

Name string `gorm:"size:200;not null" json:"name" binding:"required"`

或者在 handler 中手动校验：

if req.Name == "" {
    c.JSON(http.StatusBadRequest, gin.H{"error": "name is required"})
    return
}

---

BUG-002

严重程度：高

问题描述： POST /api/v1/stock-in/orders 接口缺少对 warehouse_id 字段的必填校验。传入 warehouse_id: 0（JSON 中省略该字段时默认为 0）时，handler 返回 201，而不是期望的 400。

复现步骤：

1. 调用 POST /api/v1/stock-in/orders，body 为 {"items":[]}（不含 warehouse_id）
2. 期望返回 400，实际返回 201

失败的测试用例：

func TestStockInHandler_Create_MissingWarehouse(t *testing.T) {
    body := `{"items":[]}`
    // 预期 400，实际得到 201
}

根因分析： backend/internal/model/stock.go 第 10 行：

WarehouseID uint64 `gorm:"not null" json:"warehouse_id"`

同 BUG-001，结构体只有 GORM 约束，缺少 binding:"required"。 对于 uint64 类型，JSON 省略时默认值为 0，ShouldBindJSON 不会报错。

修复建议： 在 StockInOrder.WarehouseID 添加 binding:"required,min=1" 标签：

WarehouseID uint64 `gorm:"not null" json:"warehouse_id" binding:"required,min=1"`

或在 handler Create 函数中（backend/internal/handler/stock_in.go，约第 82 行）手动校验：

if req.WarehouseID == 0 {
    c.JSON(http.StatusBadRequest, gin.H{"error": "warehouse_id is required"})
    return
}

---

BUG-003

严重程度：高

问题描述： POST /api/v1/stock-out/orders 接口缺少对 warehouse_id 字段的必填校验，与 BUG-002 问题相同。

复现步骤：

1. 调用 POST /api/v1/stock-out/orders，body 为 {"items":[]}（不含 warehouse_id）
2. 期望返回 400，实际返回 201

失败的测试用例：

func TestStockOutHandler_Create_MissingWarehouse(t *testing.T) {
    body := `{"items":[]}`
    // 预期 400，实际得到 201
}

根因分析： 同 BUG-002，backend/internal/model/stock.go 的 StockOutOrder.WarehouseID 缺少 binding 校验标签。

修复建议： 在 StockOutOrder.WarehouseID 添加 binding:"required,min=1" 标签，或在 backend/internal/handler/stock_out.go 的 Create 函数中手动校验。