AiDOPWarehouse/server/Plugins/Admin.NET.Plugin.AiDOP/Controllers/S8/AdoS8WatchDebugController.cs

using Admin.NET.Plugin.AiDOP.Infrastructure.S8;
using Admin.NET.Plugin.AiDOP.Const.S8;
using Admin.NET.Plugin.AiDOP.Infrastructure;
using Admin.NET.Plugin.AiDOP.Service.S8;
using Microsoft.Extensions.Configuration;

namespace Admin.NET.Plugin.AiDOP.Controllers.S8;

/// <summary>
/// G-01 最小补验内部入口（非正式调度接入点）。
/// 仅用于触发 S8 自动监控 MVP 主链一次，供端到端联调与验收取证；
/// 不对外暴露业务语义，不作为长期 API。
/// G08-06：移除匿名访问；由 appsettings 的 `WatchScheduler:DebugEndpointEnabled` 控制是否启用，
/// 未启用时所有 Action 返回 404（语义等价于"未注册"）。
///
/// <para><b>S8-DEBUG-TENANT-GUARD-1（2026-09-20）：租户边界收口。</b>
/// 修复前本 Controller 是 S8 里<b>唯一</b>把 <c>tenantId</c> 当作执行上下文的入口：
/// <c>run-once</c> 直接把 query 里的 <c>tenantId</c>（默认值 1）传给
/// <see cref="S8WatchSchedulerService.CreateExceptionsAsync"/>，于是调用方可以
/// <b>在任意租户下建单</b>，并从出参 <c>createdExceptionId</c> / <c>relatedObjectCode</c> /
/// <c>matchedExceptionId</c> <b>读回该租户的业务事实</b>；<c>test-cleanup</c> 同理可软删任意租户的
/// <c>TEST_G09_</c> 数据。两者都只被 <c>DebugEndpointEnabled</c> 这一个<b>功能开关</b>挡着 ——
/// 而功能开关不是信任边界。</para>
///
/// <para>现在租户一律由 <see cref="S8TrustedScopeResolver"/> 从认证身份解析
/// （最终落到 <see cref="AidopTenantScope.ResolveOrThrow"/>，只信 JWT），
/// 与 S8 其余 Controller <b>同一个</b> authority，不新增第二套租户解析。
/// query 上的 <c>tenantId</c> / <c>factoryId</c> 仅保留形参以兼容既有调用方，
/// <b>不承担任何安全边界作用</b>，显式丢弃。</para>
///
/// <para><b>设计目标</b>：即使 <c>DebugEndpointEnabled</c> 被误开到生产，
/// 本入口也<b>不可能</b>跨租户 —— 开关只决定「能不能用」，不再决定「能动谁的数据」。</para>
///
/// <para><b>超管口径</b>：沿用平台既有策略，不在此另开全租户调试权。
/// <see cref="AidopTenantScope.ResolveOrThrow"/> 对「超管 + 未选目标租户」直接抛异常；
/// 超管须先切到目标租户（平台既有机制），切换后即以该租户身份执行。</para>
/// </summary>
[ApiController]
[Route("api/aidop/s8/watch-debug")]
[NonUnify]
public class AdoS8WatchDebugController : ControllerBase
{
    private readonly S8WatchSchedulerService _svc;
    private readonly S8TrustedScopeResolver _scope;
    private readonly bool _debugEndpointEnabled;

    public AdoS8WatchDebugController(
        S8WatchSchedulerService svc,
        S8TrustedScopeResolver scope,
        IConfiguration configuration)
    {
        _svc = svc;
        _scope = scope;
        _debugEndpointEnabled = configuration.GetValue("WatchScheduler:DebugEndpointEnabled", false);
    }

    [HttpPost("run-once")]
    [S8Permission(S8PermissionCatalog.DebugRun)]
    public async Task<IActionResult> RunOnceAsync(
        [FromQuery] long tenantId = 1,
        [FromQuery] long factoryId = 1)
    {
        if (!_debugEndpointEnabled) return NotFound();

        // S8-DEBUG-TENANT-GUARD-1：兼容形参，安全作用域一律服务端解析。
        _ = tenantId; _ = factoryId;
        var scope = await _scope.ResolveAsync();

        var results = await _svc.CreateExceptionsAsync(scope.TenantId);
        return Ok(new
        {
            count = results.Count,
            results = results.Select(r => new
            {
                created = r.Created,
                skipped = r.Skipped,
                createdExceptionId = r.CreatedExceptionId,
                reason = r.Reason,
                errorMessage = r.ErrorMessage,
                sourceRuleId = r.DedupResult.Hit.SourceRuleId,
                relatedObjectCode = r.DedupResult.Hit.RelatedObjectCode,
                matchedExceptionId = r.DedupResult.MatchedExceptionId
            })
        });
    }

    /// <summary>
    /// S2-EW：仅供 e2e fixture 使用的 TEST_G09_ 数据软删入口。
    /// 安全契约：
    /// - 与 run-once 共用 _debugEndpointEnabled；未启用时 404。
    /// - S8-DEBUG-TENANT-GUARD-1：租户由认证身份解析，<b>不再</b>取 query 的 tenantId。
    ///   原先「tenantId 必须显式传入、缺参 400」是当时唯一的防护手段（逼调用方自己写对租户）；
    ///   现在边界由服务端盖章，该 400 既不再提供安全价值，又会要求调用方传一个已被忽略的参数，
    ///   故一并移除；形参保留仅为兼容既有调用方。
    /// - 前缀 TEST_G09_ 在 service 端硬编码，本接口不接受 prefix 入参。
    /// - 仅 soft delete（SET IsDeleted=true），不触发物理 DELETE。
    /// </summary>
    [HttpDelete("test-cleanup")]
    [S8Permission(S8PermissionCatalog.DebugRun)]
    public async Task<IActionResult> TestCleanupAsync(
        [FromQuery] long? tenantId,
        [FromServices] S8ExceptionService exceptionSvc)
    {
        if (!_debugEndpointEnabled) return NotFound();

        // S8-DEBUG-TENANT-GUARD-1：兼容形参，安全作用域一律服务端解析。
        _ = tenantId;
        var scope = await _scope.ResolveAsync();

        var deletedCount = await exceptionSvc.SoftDeleteTestPrefixAsync(scope.TenantId);
        return Ok(new { deletedCount });
    }
}