# T00 — 系统基础设施与跨切面集成测试

> 类型: 系统级 | 前置条件: 后端 + 前端服务运行中 | 优先级: P0
>
> 本文档覆盖角色测试计划（R01-R05）未涉及的跨切面关注点。

## 1. 环境启动验证

| # | 测试项 | 操作 | 预期结果 | 通过 |
|---|--------|------|----------|------|
| 1.1 | 后端启动 | `.\dev.ps1` 或 `cargo run -p erp-server` | 服务在 3000 端口启动，日志显示迁移自动执行 | ☐ |
| 1.2 | 健康检查 | `curl http://localhost:3000/api/v1/health` | 返回 200，包含各模块状态 | ☐ |
| 1.3 | 前端启动 | `cd apps/web && pnpm dev` | Vite 在 5174 端口启动，浏览器可访问 | ☐ |
| 1.4 | OpenAPI 文档 | 浏览器打开 `http://localhost:3000/api/docs/openapi.json` | 返回完整 OpenAPI JSON | ☐ |
| 1.5 | 数据库连接 | `psql -U postgres -h localhost -d erp -c "\dt"` | 显示所有表（30 基础 + 44 健康 + 3 AI） | ☐ |
| 1.6 | Redis 连接 | 检查后端日志 | Redis 连接成功，无超时警告 | ☐ |
| 1.7 | Ollama 可达 | `curl http://127.0.0.1:11434/api/tags` | 返回模型列表，包含 qwen3:4b | ☐ |

## 2. 多租户隔离验证

> **业务背景**: HMS 为 SaaS 平台，不同医疗机构（租户）的数据必须完全隔离。

### 2.1 数据隔离

| # | 测试项 | 操作 | 预期结果 | 通过 |
|---|--------|------|----------|------|
| 2.1.1 | 租户 A 查询 | 以 admin 登录（租户 A）→ 查询患者列表 | 只看到租户 A 的患者 | ☐ |
| 2.1.2 | 跨租户 API | 用租户 A 的 token 直接请求租户 B 的患者 ID | 返回 404（不是 200+空数据） | ☐ |
| 2.1.3 | 租户 ID 注入 | 检查后端日志中的 SQL 查询 | 所有 SELECT 都包含 `WHERE tenant_id = ?` | ☐ |
| 2.1.4 | 新增数据隔离 | 创建患者 → 检查数据库 | 新记录的 `tenant_id` 自动注入为当前租户 | ☐ |

### 2.2 权限隔离

| # | 测试项 | 操作 | 预期结果 | 通过 |
|---|--------|------|----------|------|
| 2.2.1 | 菜单隔离 | 不同租户的相同角色登录 | 菜单列表由 `menu_roles` 关联决定，可能不同 | ☐ |
| 2.2.2 | 角色隔离 | 租户 A 的 doctor 无法访问租户 B 的数据 | API 返回空列表或 403 | ☐ |

## 3. 事件总线端到端

> **业务背景**: 模块间通过 EventBus 异步通信，事件必须可靠投递（Outbox 模式）。

| # | 测试项 | 操作 | 预期结果 | 通过 |
|---|--------|------|----------|------|
| 3.1 | 患者创建事件 | 创建新患者 → 检查 `domain_events` 表 | 出现 `patient.created` 事件记录 | ☐ |
| 3.2 | 事件消费 | 等待 5 秒 → 检查事件状态 | 事件被消费（状态 processed） | ☐ |
| 3.3 | 随访完成事件 | 完成一条随访 → 检查 `domain_events` | 出现 `follow_up.completed` 或类似事件 | ☐ |
| 3.4 | 死信队列 | 检查 dead-letter 存储 | 无消费失败的事件（或已知原因） | ☐ |
| 3.5 | LISTEN/NOTIFY | 创建患者 → 检查 PostgreSQL NOTIFY 日志 | 通知已发出 | ☐ |

## 4. 权限码全量校验

> **业务背景**: 50 个声明权限码（health 39 + ai 6 + dialysis 5），前端 AuthButton 覆盖率仅 26%。已知 CRITICAL 问题：`health.alert.manage`（单数）vs `health.alerts.manage`（复数）。

| # | 测试项 | 操作 | 预期结果 | 通过 |
|---|--------|------|----------|------|
| 4.1 | 权限码一致性 | 检查 `permissions` 表中的 50 个声明码 | 每个码格式为 `模块.实体.操作`（如 `health.patient.list`） | ☐ |
| 4.2 | 告警权限码修复 | 登录有告警管理权限的角色 → 打开告警页面 | 告警管理按钮（确认/处理）正常显示 | ☐ |
| 4.3 | AuthButton 覆盖 | 逐一检查各页面的操作按钮 | 新增/编辑/删除按钮使用 AuthButton 包裹，权限码匹配 | ☐ |
| 4.4 | API 权限守卫 | 以无权限角色调用受保护 API | 返回 403，不是 500 | ☐ |
| 4.5 | 菜单-权限关联 | 检查 `menu_roles` 表 | 每个角色关联的菜单与测试计划（R01-R05）一致 | ☐ |

## 5. 冻结模块路由拦截

> **业务背景**: 7 个模块已冻结（care_plan、shift 等），路由守卫应拦截访问。

| # | 测试项 | 操作 | 预期结果 | 通过 |
|---|--------|------|----------|------|
| 5.1 | 冻结路由拦截 | 浏览器访问冻结模块路由（如 care_plan 相关路径） | 显示"模块已冻结"提示或重定向，不显示空白页 | ☐ |
| 5.2 | 菜单不可见 | 检查左侧菜单 | 冻结模块不显示在菜单中 | ☐ |
| 5.3 | API 拦截 | 调用冻结模块的 API | 返回明确错误（如 403 或 410），不是 500 | ☐ |

## 6. 并发冲突场景

> **业务背景**: 预约使用 CAS 乐观锁，排班满额时并发预约应被拒绝。

| # | 测试项 | 操作 | 预期结果 | 通过 |
|---|--------|------|----------|------|
| 6.1 | 预约并发 | 同一时段两个请求同时预约 | 只有一个成功，另一个返回冲突错误 | ☐ |
| 6.2 | 排班满额 | 预约数达到排班上限 → 再预约 | 返回"已满"错误，不超额 | ☐ |
| 6.3 | 乐观锁冲突 | 两个请求同时编辑同一条患者 | 第二个请求返回版本冲突错误 | ☐ |
| 6.4 | 软删除可见性 | 删除患者后 → 列表中不显示 | 列表排除 `deleted_at IS NOT NULL` 的记录 | ☐ |

## 7. PII 加密全链路

> **业务背景**: 患者敏感信息（姓名、身份证、手机号）使用 AES-256-GCM 加密存储，HMAC 盲索引支持搜索。

| # | 测试项 | 操作 | 预期结果 | 通过 |
|---|--------|------|----------|------|
| 7.1 | 写入加密 | 创建患者 → 直接查询数据库 | 姓名/身份证/手机号字段为密文，非明文 | ☐ |
| 7.2 | 读取解密 | 通过 API 查看患者详情 | 返回明文，可正常显示 | ☐ |
| 7.3 | 盲索引搜索 | 按手机号搜索患者 | 搜索结果正确，命中目标患者 | ☐ |
| 7.4 | 跨租户加密隔离 | 租户 A 的加密数据用租户 B 的密钥解密 | 解密失败或返回乱码，不泄漏明文 | ☐ |
| 7.5 | HMAC 索引一致性 | 创建患者 → 检查 `blind_indexes` 表 | 对应字段有 HMAC 索引记录 | ☐ |

## 8. FHIR API 访问控制

> **业务背景**: 14 个公开 FHIR 路由需验证访问控制。

| # | 测试项 | 操作 | 预期结果 | 通过 |
|---|--------|------|----------|------|
| 8.1 | FHIR 资源访问 | `GET /api/v1/fhir/Patient` | 返回 FHIR 格式的患者资源 | ☐ |
| 8.2 | 无 token 访问 | 不带 Authorization 头访问 FHIR 端点 | 公开端点可访问 / 受保护端点返回 401 | ☐ |
| 8.3 | 越权访问 | 用普通患者 token 访问其他患者的 FHIR 资源 | `allowed_patient_ids` 限制生效，返回 403 | ☐ |
| 8.4 | FHIR 格式验证 | 检查返回的 JSON 结构 | 符合 FHIR R4 规范（`resourceType` 字段存在） | ☐ |

## 9. SSE / WebSocket 连通性

> **业务背景**: 消息中心使用 SSE 推送未读计数，AI 分析使用 SSE 流式返回结果。

| # | 测试项 | 操作 | 预期结果 | 通过 |
|---|--------|------|----------|------|
| 9.1 | SSE 连接 | 浏览器打开 → 检查 Network 面板 SSE 连接 | `EventSource` 连接到 `/api/v1/messages/stream`，状态 200 | ☐ |
| 9.2 | 消息推送 | 管理员发送消息 → 切换到另一个角色的浏览器 | 未读计数实时更新（SSE 推送） | ☐ |
| 9.3 | SSE 断线重连 | 断开网络 → 恢复 | SSE 自动重连，消息不丢失 | ☐ |
| 9.4 | AI SSE 分析 | 触发 AI 分析（需前端入口或直接 API 调用） | SSE 流式返回分析结果 | ☐ |

## 10. 错误恢复场景

| # | 测试项 | 操作 | 预期结果 | 通过 |
|---|--------|------|----------|------|
| 10.1 | Token 过期刷新 | 登录后等待 token 接近过期（或手动修改 localStorage） | 前端自动刷新 token，无需重新登录 | ☐ |
| 10.2 | 401 响应处理 | 后端返回 401 → 检查前端行为 | 跳转到登录页，不显示空白 | ☐ |
| 10.3 | 403 响应处理 | 访问无权限页面 | 显示 403 提示或重定向，不显示空白 | ☐ |
| 10.4 | 500 响应处理 | 触发后端错误（如发送异常数据） | 显示友好错误提示，不显示原始堆栈 | ☐ |
| 10.5 | Redis 降级 | 停止 Redis → 发起 API 请求 | 限流降级为 fail-close（503），不是无限等待 | ☐ |
| 10.6 | 数据库连接恢复 | 短暂断开数据库 → 恢复 | 连接池自动重建，后续请求正常 | ☐ |
| 10.7 | 网络中断恢复 | 断开前端网络 → 恢复 | 页面恢复数据加载，SSE 重连 | ☐ |

## 11. 文件上传

> **业务背景**: 化验单和体检报告支持文件上传。

| # | 测试项 | 操作 | 预期结果 | 通过 |
|---|--------|------|----------|------|
| 11.1 | 图片上传 | 患者详情 → 上传化验单图片 | 上传成功，图片可预览 | ☐ |
| 11.2 | 文件大小限制 | 上传超大文件（>10MB） | 返回文件大小限制错误 | ☐ |
| 11.3 | 文件类型限制 | 上传非允许类型文件（如 .exe） | 返回文件类型限制错误 | ☐ |
| 11.4 | 图片预览 | 点击已上传的图片 | 全屏预览正常显示 | ☐ |

## 12. 安全边界

> **基于专家评审安全建议**

| # | 测试项 | 操作 | 预期结果 | 通过 |
|---|--------|------|----------|------|
| 12.1 | SQL 注入 | 在搜索框输入 `' OR 1=1 --` | 不返回全量数据，搜索结果为空或正常过滤 | ☐ |
| 12.2 | XSS 防护 | 在患者姓名中输入 `<script>alert(1)</script>` | 存储后显示为转义文本，不执行脚本 | ☐ |
| 12.3 | display_name XSS | 检查数据库中的 display_name 字段 | 不包含未转义的 HTML（P1 已知问题） | ☐ |
| 12.4 | CORS 限制 | 从非白名单 Origin 发起 API 请求 | 被拒绝（生产环境 CORS 不含通配符） | ☐ |
| 12.5 | JWT 伪造 | 使用篡改的 JWT 发起请求 | 返回 401 | ☐ |
| 12.6 | 批量导出限制 | 尝试导出大量数据 | 有分页限制或超时保护 | ☐ |

## 13. 数据完整性

| # | 测试项 | 操作 | 预期结果 | 通过 |
|---|--------|------|----------|------|
| 13.1 | UUID v7 主键 | 检查任意表的主键格式 | 为 UUID v7 格式（时间排序） | ☐ |
| 13.2 | 审计字段 | 创建任意记录 → 检查数据库 | `created_at`/`updated_at`/`created_by`/`updated_by` 自动填充 | ☐ |
| 13.3 | 乐观锁版本 | 编辑记录两次 → 检查 `version` 字段 | version 递增 | ☐ |
| 13.4 | 软删除 | 删除记录 → 直接查询数据库 | `deleted_at` 非空，记录仍存在 | ☐ |
| 13.5 | 唯一约束 | 创建重复身份证号的患者 | 返回唯一约束错误 | ☐ |

## 测试结果

- 测试人: _________
- 测试日期: _________
- 通过数: ___ / 总数: ___
- 问题记录: