code-scan-hub v1.0.2 增量质检报告

• 项目：codescan/code-scan-hub
• 分支：v1.0.2
• 对比区间：1878ffc9（base） → 7fdeaadf（head）
• 变更主题：CI 触发请求体新增“发起人（actor）”字段，并写入增量任务的触发上下文

---

一、变更概览

本次增量仅改动 1 个文件：src/api/trigger.rs（3 处 hunk），无新增/删除文件。

功能语义：为“报告列表显示发起人”需求提供 Hub 侧数据写入。#[serde(default)] 保证旧 CI 调用（不带 actor）向后兼容，不会 400。

⚠️ 注意：trigger_baseline 的 create_task（src/api/trigger.rs:300-308）未同步写入 actor，仍为 Some(json!({"branch": body.branch}))。详见第四节。

---

二、质量地图：修复 / 新增问题（工具真实数据）

调用 codescan.issues_diff（base → head）结果：修复 3 条 / 新增 4 条，全部集中在 src/api/trigger.rs。

2.1 修复的问题（base 有、head 无）

2.2 新增的问题（head 有、base 无）

2.3 解读（重要）

• 3 条“修复”并非真正修复：authorized / trigger_incremental / trigger_baseline 三个函数在 head 中依然存在且仍有耦合问题（见 2.2 的 135/158/247）。base 的 127/150/235 与 head 的 135/158/247 是同一批问题的行号位移（顶部新增字段 + JSON 块扩写导致整体下移约 8 行），工具按行号匹配，故判为“旧问题消失、新问题出现”。耦合存量问题并未消除。
• 唯一的净新增性质是 trigger_incremental 因 trigger_context JSON 由单行扩展为多行块，触发了 函数过长（84 行） 阈值告警——属本次改动直接带来的可维护性退化（低烈度，但可持续累积）。
• 严重度均为 Medium，无 Critical/High 级质量地图问题。

---

三、变更引入的缺陷风险（本次分析新增发现）

以下为质量地图未覆盖、但由本次变更直接引入的具体问题，建议优先处理。

3.1 【High】单元测试将无法编译（E0063 missing field actor）

新增字段后未同步更新测试模块中的结构体字面量。Rust 中 #[serde(default)] 只影响反序列化，不作用于字面量构造，因此以下位置在 cargo test 时会因缺少 actor 字段而编译失败：

影响：cargo build 不受影响（mod tests 为 #[cfg(test)]），但 cargo test 会整体编译失败，CI 单测门禁会红灯。 修复：为上述字面量补 actor: None（或改用 ..Default::default()）。

3.2 【High/功能缺口】baseline 路径未透传 actor，字段形同死字段

BaselineTriggerRequest.actor（src/api/trigger.rs:63-66）经 serde 解析后从未被读取；trigger_baseline 的 create_task args（src/api/trigger.rs:307-308）仍只写 branch。

• 后果：CI 走 Release 分支合并（baseline）触发时，scan_tasks.args 中不会出现 actor，该路径的“发起人”需求失效；BaselineTriggerRequest 亦成为只写不读的字段（可能触发 dead_code 提示）。
• 修复：将 Some(json!({"branch": body.branch})) 改为同时写入 "actor": body.actor。

3.3 【Medium/功能缺口】“报告列表显示发起人”在 Hub 侧无展示落点

需求名称为“报告列表显示发起人”，但读取/展示链路尚未建立：

• 任务列表 GET /api/v1/scans（src/api/scans.rs:159-169）与任务详情 GET /api/v1/scans/{id}（src/api/scans.rs:182-200）返回体均不含 args，前端拿不到 trigger_context.actor。
• 全仓库没有任何 args.get("actor") 读取点；唯一读取 args 的后端逻辑（src/orchestrator/scheduler.rs 读 tag、src/orchestrator/release.rs 读 version）均不涉及 actor。
• 本 Hub 仓库无前端目录（web/、templates/、frontend/ 均不存在），报告页由另一仓库的前端站点渲染。
• 结论：本次仅完成 CI 写入侧的一部分；“列表展示”需要 Hub 侧 API 暴露 args（或 actor 字段）并在前端渲染后才闭环。

3.4 【Low/文档漂移】迁移与实体注释未同步 actor

• migrations/010_scan_tasks_args.sql:6-9 的 key 说明（tag/base_tag/version/ref/branch）未补 actor。
• src/store/entities/scan_tasks.rs:43-44 的字段注释同样未补 actor。
• 不影响运行，但会造成文档与实现漂移，建议补齐。

3.5 【一致性】其他触发路径无 actor

src/api/webhook.rs（push 触发）与 src/api/scans.rs（手动触发）的触发上下文均不含 actor；src/orchestrator/release.rs:105 已写入 PR 作者 login。历史/其他来源任务将按注释兜底显示“—”，属预期，但需在展示侧统一兜底口径。

---

四、结论与建议

1. 变更性质：单一小改动（新增 request 字段 + 一处 JSON 写入），向后兼容，无 API 破坏性变更。
2. 质量地图净变化：3 条“修复”为行号位移造成的假象，存量耦合问题仍在；净新增 1 条 trigger_incremental 函数过长（Medium）。无 High 级质量地图问题。
3. 必须修复（阻断）：
   • 补齐 src/api/trigger.rs 测试模块 6 处结构体字面量的 actor 字段（否则 cargo test 编译失败）。
   • trigger_baseline 写入 actor，否则 baseline 路径需求失效。
4. 建议补全（闭环）：
   • Hub API（GET /api/v1/scans、/scans/{id}）暴露 trigger_context/actor，供前端报告列表展示。
   • 同步 migrations/010 与 scan_tasks 实体注释。
5. 可选优化：将 trigger_incremental 的重复错误处理/上下文拼装抽取为辅助函数，缓解函数过长与高耦合（authorized 11 依赖、trigger_incremental/trigger_baseline 各 17 依赖）。