vr-shopxo-plugin/plan.md

# Council Plan — vr-shopxo-plugin 代码审议

> Round 1 — 2026-04-15
> Branch: council/FrontendDev → main
> 状态：**Draft Phase**

---

## Task Summary

对 vr-shopxo-plugin 插件进行全面的代码审议，覆盖插件架构、票务核心、前端页面、数据库 Schema、安全性 5 个维度。**仅评论不改代码**，输出独立评审报告到 `reviews/code-review-FrontendDev.md`。

---

## Review Scope

### 1. 插件架构
- `app/plugins/vr_ticket/EventListener.php`
- `app/plugins/vr_ticket/plugin.json`
- 生命周期钩子实现、数据库迁移策略、菜单/权限注册

### 2. 票务核心
- `app/plugins/vr_ticket/service/TicketService.php`
- `app/plugins/vr_ticket/service/BaseService.php`
- `onOrderPaid()` 并发问题、`verifyTicket()` 核销漏洞、AES QR 加密强度

### 3. 前端票务详情页
- `app/plugins/vr_ticket/view/goods/ticket_detail.html`
- HTML/CSS/JS 质量、座位图渲染逻辑、观演人表单安全性

### 4. 数据库 Schema
- `app/plugins/vr_ticket/database/migrations/001_vr_tables.sql`
- 表结构规范、索引合理性、外键关系

### 5. 安全性审计
- SQL 注入、XSS、支付回调重放攻击、QR 票防伪造

---

## Task Checklist

- [x] R1: 评审插件架构 (EventListener.php / plugin.json)
- [x] R2: 评审票务核心 (TicketService.php / BaseService.php)
- [x] R3: 评审前端页面 (ticket_detail.html)
- [x] R4: 评审数据库 Schema (001_vr_tables.sql)
- [x] R5: 安全性综合审计（注入/XSS/重放/QR伪造）
- [x] R6: 汇总评审报告 (reviews/code-review-FrontendDev.md)

---

## Phase Breakdown

| Phase | 内容 | 状态 |
|---|---|---|
| **Draft** | 各维度代码阅读 + 问题识别 | ✅ 完成 |
| **Review** | 输出完整评审报告 | ✅ 完成 |
| **Finalize** | 提交报告到 main | ⏳ 待合并 |

---

## 问题发现汇总

| 严重度 | 数量 | 典型问题 |
|--------|------|---------|
| 🔴 严重 | 2 | 购票参数前端计算无验签 / `$goods.content\|raw` XSS |
| 🟡 中等 | 4 | loadSoldSeats 未实现 / CSS 无响应式 / 座位图渲染边界 / JSON输出XSS |
| 🟢 轻微 | 3 | 已选座位 UI 无状态管理 / 观演人表单无校验 / 座位映射数据泄露 |
| 💡 建议 | 4 | 座位字符集ASCII限制 / 座位数无上限 / spec_base_id缺索引 / 地图JSON无长度限制 |

---

## Claim Status

| Task | Owner | Status |
|---|---|---|
| R1-R6: 完整评审 | council/FrontendDev | `[Done: council/FrontendDev]` |

---

**[CONSENSUS: NO]** — Round 1 规划完成，待执行审议
-												council(draft): FrontendDev - Round 1 vr-shopxo-plugin 代码审议计划

Co-Authored-By: Claude Sonnet 4.6 <noreply@anthropic.com>

											
										
										
											2026-04-15 01:14:29 +00:00
+								# Council Plan — vr-shopxo-plugin 代码审议
-												council(draft): pm-reviewer - create plan.md with PM review task breakdown

											
										
										
											2026-04-14 05:45:33 +00:00
-												council(draft): FrontendDev - Round 1 vr-shopxo-plugin 代码审议计划

Co-Authored-By: Claude Sonnet 4.6 <noreply@anthropic.com>

											
										
										
											2026-04-15 01:14:29 +00:00
+								> Round 1 — 2026-04-15
 								> Branch: council/FrontendDev → main
 								> 状态：**Draft Phase**
-												council(draft): pm-reviewer - create plan.md with PM review task breakdown

											
										
										
											2026-04-14 05:45:33 +00:00
 								---
-												council(draft): PM - Round 1 Q3 回答（配置结构建议）

PM 立场：建议新增 `routing` section
- routing.modelProviderOverride: 模型 → provider 映射
- routing.baseUrlOverride: 可选 baseUrl 覆盖
- 放在顶层，语义清晰，向后兼容

Co-Authored-By: Claude Opus 4.6 <noreply@anthropic.com>

											
										
										
											2026-04-14 10:56:22 +00:00
+								## Task Summary
-												council(draft): resolve plan.md conflict, merge backend-reviewer + pm-reviewer plans

Co-Authored-By: Claude Sonnet 4.6 <noreply@anthropic.com>

											
										
										
											2026-04-14 05:47:12 +00:00
-												council(draft): FrontendDev - Round 1 vr-shopxo-plugin 代码审议计划

Co-Authored-By: Claude Sonnet 4.6 <noreply@anthropic.com>

											
										
										
											2026-04-15 01:14:29 +00:00
+								对 vr-shopxo-plugin 插件进行全面的代码审议，覆盖插件架构、票务核心、前端页面、数据库 Schema、安全性 5 个维度。**仅评论不改代码**，输出独立评审报告到 `reviews/code-review-FrontendDev.md`。
-												council(draft): PM - Round 1 创建 MiniMax 路由补丁设计计划

4 Q 任务分配：
- Q1: Backend 配置读取方案
- Q2: Architect 架构设计（配置注入）
- Q3: PM 配置结构建议
- Q4: Architect 综合方案

Co-Authored-By: Claude Opus 4.6 <noreply@anthropic.com>

											
										
										
											2026-04-14 10:55:11 +00:00
 								---
-												council(draft): FrontendDev - Round 1 vr-shopxo-plugin 代码审议计划

Co-Authored-By: Claude Sonnet 4.6 <noreply@anthropic.com>

											
										
										
											2026-04-15 01:14:29 +00:00
+								## Review Scope
 								### 1. 插件架构
 								- `app/plugins/vr_ticket/EventListener.php`
 								- `app/plugins/vr_ticket/plugin.json`
 								- 生命周期钩子实现、数据库迁移策略、菜单/权限注册
 								### 2. 票务核心
 								- `app/plugins/vr_ticket/service/TicketService.php`
 								- `app/plugins/vr_ticket/service/BaseService.php`
 								- `onOrderPaid()` 并发问题、`verifyTicket()` 核销漏洞、AES QR 加密强度
 								### 3. 前端票务详情页
 								- `app/plugins/vr_ticket/view/goods/ticket_detail.html`
 								- HTML/CSS/JS 质量、座位图渲染逻辑、观演人表单安全性
 								### 4. 数据库 Schema
 								- `app/plugins/vr_ticket/database/migrations/001_vr_tables.sql`
 								- 表结构规范、索引合理性、外键关系
 								### 5. 安全性审计
 								- SQL 注入、XSS、支付回调重放攻击、QR 票防伪造
-												council(draft): pm-reviewer - create plan.md with PM review task breakdown

											
										
										
											2026-04-14 05:45:33 +00:00
 								---
-												council(draft): PM - Round 1 Q3 回答（配置结构建议）

PM 立场：建议新增 `routing` section
- routing.modelProviderOverride: 模型 → provider 映射
- routing.baseUrlOverride: 可选 baseUrl 覆盖
- 放在顶层，语义清晰，向后兼容

Co-Authored-By: Claude Opus 4.6 <noreply@anthropic.com>

											
										
										
											2026-04-14 10:56:22 +00:00
+								## Task Checklist
-												council(draft): pm-reviewer - create plan.md with PM review task breakdown

											
										
										
											2026-04-14 05:45:33 +00:00
-												council(review): FrontendDev - 完成 vr-shopxo-plugin 前端代码评审报告

评审发现：2个严重(S-01价格篡改/S-02 XSS)、4个中等、3个轻微、4项建议
交叉确认：与 SecurityEngineer / BackendArchitect 报告高度一致

Co-Authored-By: Claude Sonnet 4.6 <noreply@anthropic.com>

											
										
										
											2026-04-15 01:24:04 +00:00
+								- [x] R1: 评审插件架构 (EventListener.php / plugin.json)
 								- [x] R2: 评审票务核心 (TicketService.php / BaseService.php)
 								- [x] R3: 评审前端页面 (ticket_detail.html)
 								- [x] R4: 评审数据库 Schema (001_vr_tables.sql)
 								- [x] R5: 安全性综合审计（注入/XSS/重放/QR伪造）
 								- [x] R6: 汇总评审报告 (reviews/code-review-FrontendDev.md)
-												fix: 明确允许最小范围修改ShopXO源码（MIT协议），以进度为先

											
										
										
											2026-04-14 06:10:59 +00:00
 								---
-												council(finalize): PM - Round 2 完成，清理 plan.md conflict markers

- 清理 plan.md 中的 Git conflict markers
- 确认 4 Q 全票通过 NON-BLOCKING
- 架构决策完成

Co-Authored-By: Claude Opus 4.6 <noreply@anthropic.com>

											
										
										
											2026-04-14 10:45:13 +00:00
+								## Phase Breakdown
-												council(draft): Architect - Round 1 架构评审结论

Q1: 座位模板绑定粒度 - NON-BLOCKING (分类UNIQUE KEY合理)
Q2: spec_base_id_map - NON-BLOCKING (共用seat_map最简)
Q3: 观演人存储 - NON-BLOCKING (vr_tickets支付后写入)
Q4: spec绑定 - NON-BLOCKING ($vr-前缀隔离已确认)

Co-Authored-By: Claude Opus 4.6 <noreply@anthropic.com>

											
										
										
											2026-04-14 10:40:41 +00:00
-												council(draft): PM - Round 1 Q3 回答（配置结构建议）

PM 立场：建议新增 `routing` section
- routing.modelProviderOverride: 模型 → provider 映射
- routing.baseUrlOverride: 可选 baseUrl 覆盖
- 放在顶层，语义清晰，向后兼容

Co-Authored-By: Claude Opus 4.6 <noreply@anthropic.com>

											
										
										
											2026-04-14 10:56:22 +00:00
+								| Phase | 内容 | 状态 |
 								|---|---|---|
-												council(review): FrontendDev - 完成 vr-shopxo-plugin 前端代码评审报告

评审发现：2个严重(S-01价格篡改/S-02 XSS)、4个中等、3个轻微、4项建议
交叉确认：与 SecurityEngineer / BackendArchitect 报告高度一致

Co-Authored-By: Claude Sonnet 4.6 <noreply@anthropic.com>

											
										
										
											2026-04-15 01:24:04 +00:00
+								| **Draft** | 各维度代码阅读 + 问题识别 | ✅ 完成 |
 								| **Review** | 输出完整评审报告 | ✅ 完成 |
 								| **Finalize** | 提交报告到 main | ⏳ 待合并 |
 								---
 								## 问题发现汇总
 								| 严重度 | 数量 | 典型问题 |
 								|--------|------|---------|
 								| 🔴 严重 | 2 | 购票参数前端计算无验签 / `$goods.content\|raw` XSS |
 								| 🟡 中等 | 4 | loadSoldSeats 未实现 / CSS 无响应式 / 座位图渲染边界 / JSON输出XSS |
 								| 🟢 轻微 | 3 | 已选座位 UI 无状态管理 / 观演人表单无校验 / 座位映射数据泄露 |
 								| 💡 建议 | 4 | 座位字符集ASCII限制 / 座位数无上限 / spec_base_id缺索引 / 地图JSON无长度限制 |
-												council(draft): PM - Round 1 Q3 回答（配置结构建议）

PM 立场：建议新增 `routing` section
- routing.modelProviderOverride: 模型 → provider 映射
- routing.baseUrlOverride: 可选 baseUrl 覆盖
- 放在顶层，语义清晰，向后兼容

Co-Authored-By: Claude Opus 4.6 <noreply@anthropic.com>

											
										
										
											2026-04-14 10:56:22 +00:00
 								---
 								## Claim Status
 								| Task | Owner | Status |
-												council(finalize): PM - Round 2 完成，清理 plan.md conflict markers

- 清理 plan.md 中的 Git conflict markers
- 确认 4 Q 全票通过 NON-BLOCKING
- 架构决策完成

Co-Authored-By: Claude Opus 4.6 <noreply@anthropic.com>

											
										
										
											2026-04-14 10:45:13 +00:00
+								|---|---|---|
-												council(review): FrontendDev - 完成 vr-shopxo-plugin 前端代码评审报告

评审发现：2个严重(S-01价格篡改/S-02 XSS)、4个中等、3个轻微、4项建议
交叉确认：与 SecurityEngineer / BackendArchitect 报告高度一致

Co-Authored-By: Claude Sonnet 4.6 <noreply@anthropic.com>

											
										
										
											2026-04-15 01:24:04 +00:00
+								| R1-R6: 完整评审 | council/FrontendDev | `[Done: council/FrontendDev]` |
-												council(draft): Architect - Round 1 架构评审结论

Q1: 座位模板绑定粒度 - NON-BLOCKING (分类UNIQUE KEY合理)
Q2: spec_base_id_map - NON-BLOCKING (共用seat_map最简)
Q3: 观演人存储 - NON-BLOCKING (vr_tickets支付后写入)
Q4: spec绑定 - NON-BLOCKING ($vr-前缀隔离已确认)

Co-Authored-By: Claude Opus 4.6 <noreply@anthropic.com>

											
										
										
											2026-04-14 10:40:41 +00:00
 								---
-												council(draft): FrontendDev - Round 1 vr-shopxo-plugin 代码审议计划

Co-Authored-By: Claude Sonnet 4.6 <noreply@anthropic.com>

											
										
										
											2026-04-15 01:14:29 +00:00
+								**[CONSENSUS: NO]** — Round 1 规划完成，待执行审议